CVE-2026-2785

Nieprawidłowy wskaźnik w silniku JavaScript — Mozilla Firefox i Thunderbird

CVSS 9.8v3.1pub. 2026-02-24upd. 2026-04-13

Podatność klasy CWE-824 (dostęp do niezainicjowanego wskaźnika) w komponencie silnika JavaScript przeglądarki Firefox oraz klienta poczty Thunderbird. Oceniona jako krytyczna (CVSS 9.8), może być wykorzystana zdalnie bez uwierzytelnienia i interakcji użytkownika.

▸ Pokaż oryginał (EN)

Invalid pointer in the JavaScript Engine component. This vulnerability was fixed in Firefox 148, Firefox ESR 140.8, Thunderbird 148, and Thunderbird 140.8.

🤖 Analiza AI

Jak działa

Błąd polega na użyciu nieprawidłowego (niezainicjowanego lub unieważnionego) wskaźnika w komponencie silnika JavaScript. Niepoprawne odwołanie do takiego wskaźnika może prowadzić do uszkodzenia pamięci procesu. Atakujący może dostarczyć specjalnie spreparowany kod JavaScript (np. poprzez złośliwą stronę internetową lub wiadomość e-mail), który wyzwoli ten błąd.

Skutki

Pomyślne wykorzystanie podatności może umożliwić atakującemu zdalne wykonanie dowolnego kodu (RCE) w kontekście aplikacji, a także naruszenie poufności, integralności i dostępności systemu.

Mitygacja

Należy zaktualizować do Firefox 148, Firefox ESR 140.8, Thunderbird 148 lub Thunderbird 140.8, w których podatność została naprawiona. Patche dostępne są w referencjach producenta (mozilla.org/security/advisories).

Kogo dotyczy

Mozilla Firefox (wersje przed 148), Mozilla Firefox ESR (wersje przed 140.8), Mozilla Thunderbird (wersje przed 148), Mozilla Thunderbird ESR (wersje przed 140.8)