CVE-2026-4691

Use-after-free w komponencie CSS w Firefox i Thunderbird

CVSS 9.8v3.1pub. 2026-03-24upd. 2026-06-30

Podatność typu use-after-free w komponencie parsowania i przetwarzania CSS w Mozilla Firefox oraz Thunderbird umożliwia zdalnemu atakującemu wykonanie dowolnego kodu bez uwierzytelnienia. Krytyczny poziom CVSS 9.8 oznacza, że atak można przeprowadzić przez sieć, bez interakcji użytkownika i bez żadnych uprawnień.

▸ Pokaż oryginał (EN)

Use-after-free in the CSS Parsing and Computation component. This vulnerability was fixed in Firefox 149, Firefox ESR 115.34, Firefox ESR 140.9, Thunderbird 149, and Thunderbird 140.9.

🤖 Analiza AI

Jak działa

Błąd use-after-free polega na tym, że aplikacja odwołuje się do obszaru pamięci po jego zwolnieniu podczas parsowania lub przetwarzania reguł CSS. Atakujący może spreparować odpowiednio złośliwą zawartość CSS (np. na stronie internetowej lub w wiadomości e-mail HTML), która wyzwoli nieprawidłowe odwołanie do zwolnionej pamięci. Pozwala to na kontrolowane zapisanie lub wykonanie danych w tym obszarze, co może prowadzić do przejęcia kontroli nad procesem aplikacji.

Skutki

Atakujący może uzyskać pełną kontrolę nad procesem przeglądarki lub klienta pocztowego, co obejmuje ujawnienie poufnych danych, modyfikację danych oraz potencjalne wykonanie dowolnego kodu (RCE) w kontekście zalogowanego użytkownika.

Mitygacja

Należy niezwłocznie zaktualizować oprogramowanie do następujących wersji: Firefox 149, Firefox ESR 115.34, Firefox ESR 140.9, Thunderbird 149 lub Thunderbird 140.9. Patche dostępne są u producenta zgodnie z referencjami (mfsa2026-20, mfsa2026-21, mfsa2026-22, mfsa2026-23).

Kogo dotyczy

Mozilla Firefox przed wersją 149, Mozilla Firefox ESR przed wersjami 115.34 i 140.9, Mozilla Thunderbird przed wersją 149 oraz Mozilla Thunderbird ESR przed wersją 140.9.