CVE-2026-2805

Nieprawidłowy wskaźnik w komponencie DOM: Core & HTML – Mozilla Firefox i Thunderbird

CVSS 9.8v3.1pub. 2026-02-24upd. 2026-04-13

Podatność krytyczna w Mozilla Firefox i Thunderbird polega na użyciu nieprawidłowego wskaźnika (invalid pointer) w komponencie DOM: Core & HTML. Błąd umożliwia potencjalnie zdalne wykonanie kodu bez żadnej interakcji użytkownika ani uwierzytelnienia.

▸ Pokaż oryginał (EN)

Invalid pointer in the DOM: Core & HTML component. This vulnerability was fixed in Firefox 148 and Thunderbird 148.

🤖 Analiza AI

Jak działa

Podatność jest sklasyfikowana jako CWE-824 (Access of Uninitialized Pointer), co oznacza, że silnik przeglądarki lub klienta pocztowego odwołuje się do wskaźnika, który nie został poprawnie zainicjalizowany podczas przetwarzania obiektów DOM. Nieprawidłowa operacja na takim wskaźniku może prowadzić do uszkodzenia pamięci. Wektor ataku sieciowy bez wymagań dotyczących uprawnień lub interakcji użytkownika wskazuje, że samo przetworzenie spreparowanej treści (np. strony WWW lub wiadomości HTML) może wywołać błąd.

Skutki

Atakujący może uzyskać pełną kontrolę nad poufnością, integralnością i dostępnością systemu — w praktyce może to oznaczać zdalne wykonanie arbitralnego kodu (RCE) w kontekście procesu przeglądarki lub klienta pocztowego.

Mitygacja

Należy niezwłocznie zaktualizować Mozilla Firefox do wersji 148 oraz Mozilla Thunderbird do wersji 148, w których podatność została naprawiona. Szczegóły dostępne w poradnikach bezpieczeństwa producenta: mfsa2026-13 (Firefox) i mfsa2026-16 (Thunderbird).

Kogo dotyczy

Mozilla Firefox w wersjach poprzedzających 148 oraz Mozilla Thunderbird w wersjach poprzedzających 148.

Uwagi

Podatność naprawiona w Firefox 148 i Thunderbird 148 zgodnie z oficjalnymi poradnikami Mozilla (mfsa2026-13 i mfsa2026-16). Brak szczegółowego opisu technicznego w dostępnych źródłach — NVD klasyfikuje typ podatności jako NVD-CWE-noinfo.