CVE-2026-4692

Sandbox escape w komponencie Responsive Design Mode — Firefox i Thunderbird

CVSS 10.0v3.1pub. 2026-03-24upd. 2026-06-30

Podatność umożliwia ucieczkę z piaskownicy (sandbox escape) poprzez komponent Responsive Design Mode w przeglądarkach Mozilla Firefox i kliencie pocztowym Mozilla Thunderbird. Oceniona jako krytyczna z maksymalnym wynikiem CVSS 10.0, co oznacza pełne ryzyko dla poufności, integralności i dostępności systemu.

▸ Pokaż oryginał (EN)

Sandbox escape in the Responsive Design Mode component. This vulnerability was fixed in Firefox 149, Firefox ESR 115.34, Firefox ESR 140.9, Thunderbird 149, and Thunderbird 140.9.

🤖 Analiza AI

Jak działa

Błąd znajduje się w komponencie Responsive Design Mode, czyli narzędziu deweloperskim służącym do podglądu stron w różnych rozdzielczościach ekranu. Luka pozwala atakującemu na wyjście poza izolowane środowisko wykonania (sandbox), które normalnie ogranicza możliwości złośliwego kodu. Szczegółowy mechanizm techniczny nie został upubliczniony przez producenta (CWE: NVD-CWE-noinfo), jednak maksymalny wektor CVSS wskazuje, że atak jest możliwy zdalnie, bez uwierzytelnienia i bez interakcji użytkownika, a skutki wykraczają poza pierwotnie izolowany kontekst aplikacji.

Skutki

Atakujący może uzyskać pełną kontrolę nad systemem ofiary — w tym dostęp do poufnych danych, możliwość modyfikacji plików oraz zakłócenia działania systemu — poprzez wyrwanie się z mechanizmów izolacji przeglądarki lub klienta pocztowego.

Mitygacja

Należy niezwłocznie zaktualizować oprogramowanie do wersji: Firefox 149, Firefox ESR 115.34, Firefox ESR 140.9, Thunderbird 149 lub Thunderbird 140.9, w których podatność została usunięta przez producenta.

Kogo dotyczy

Mozilla Firefox w wersjach przed 149, Mozilla Firefox ESR w wersjach przed 115.34 i przed 140.9, Mozilla Thunderbird w wersjach przed 149 i przed 140.9.

Uwagi

Podatność dotyczy komponentu Responsive Design Mode, który jest narzędziem deweloperskim dostępnym w przeglądarkach Mozilla. Producent opublikował poprawki jednocześnie w czterech oddzielnych biuletynach bezpieczeństwa (MFSA2026-20 do MFSA2026-23).