CVE-2026-2790

Obejście Same-Origin Policy w komponencie JAR przeglądarek Mozilla

CVSS 9.8v3.1pub. 2026-02-24upd. 2026-04-13

Podatność w komponencie Networking: JAR produktów Mozilla Firefox i Thunderbird pozwala na obejście mechanizmu Same-Origin Policy (SOP). Jest to krytyczna luka umożliwiająca nieautoryzowany dostęp do zasobów między różnymi źródłami, co stanowi poważne zagrożenie dla bezpieczeństwa danych użytkowników.

▸ Pokaż oryginał (EN)

Same-origin policy bypass in the Networking: JAR component. This vulnerability was fixed in Firefox 148, Firefox ESR 140.8, Thunderbird 148, and Thunderbird 140.8.

🤖 Analiza AI

Jak działa

Podatność (CWE-346) polega na nieprawidłowej weryfikacji pochodzenia żądań w komponencie obsługującym archiwa JAR w warstwie sieciowej przeglądarki. Atakujący może wykorzystać błąd w egzekwowaniu Same-Origin Policy, aby złośliwa strona internetowa uzyskała dostęp do danych lub zasobów z innego źródła — wbrew oczekiwanemu izolowaniu domen. Atak nie wymaga uwierzytelnienia, interakcji użytkownika ani szczególnych warunków sieciowych, co wynika z wektora CVSS (AV:N/AC:L/PR:N/UI:N).

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do poufnych danych, modyfikować treści lub naruszać integralność i dostępność zasobów chronionych przez Same-Origin Policy, co może prowadzić do kradzieży sesji, danych osobowych lub innych wrażliwych informacji.

Mitygacja

Należy zaktualizować do Firefox 148 lub Firefox ESR 140.8, Thunderbird 148 lub Thunderbird 140.8, w których podatność została naprawiona. Patche dostępne są w referencjach producenta (mozilla.org/security/advisories).

Kogo dotyczy

Mozilla Firefox w wersjach przed 148 i Firefox ESR w wersjach przed 140.8, Mozilla Thunderbird w wersjach przed 148 i Thunderbird ESR w wersjach przed 140.8