CVE-2026-4696

Podatność polega na błędzie use-after-free w komponencie Layout: Text and Fonts — obszarze silnika przeglądarki odpowiedzialnym za przetwarzanie i wyświetlanie tekstu oraz czcionek. Błąd tego typu oznacza, że program odwołuje się do obszaru pamięci, który został już wcześniej zwolniony, co może prowadzić do wykonania kontrolowanego przez atakującego kodu. Wektor ataku jest sieciowy, bez wymogu uwierzytelnienia i bez konieczności jakiejkolwiek interakcji po stronie ofiary (CVSS AV:N/AC:L/PR:N/UI:N).

Atakujący może uzyskać pełną kontrolę nad systemem ofiary poprzez zdalne wykonanie dowolnego kodu (RCE), a także doprowadzić do naruszenia poufności, integralności i dostępności danych — wszystkie trzy kategorie ocenione jako wysokie w wektorze CVSS.

Należy niezwłocznie zaktualizować oprogramowanie do wersji: Firefox 149, Firefox ESR 115.34, Firefox ESR 140.9, Thunderbird 149 lub Thunderbird 140.9, w których podatność została naprawiona. Patche dostępne są bezpośrednio od producenta oraz w referencjach wskazanych w opisie.

Mozilla Firefox w wersjach przed 149, Mozilla Firefox ESR w wersjach przed 115.34 i przed 140.9, Mozilla Thunderbird w wersjach przed 149 i przed 140.9.

Podatność naprawiona w ramach aktualizacji opublikowanych 2026-03-24. Szczegóły techniczne dostępne w Mozilla Bugzilla pod numerem 2020190 oraz w poradnikach bezpieczeństwa MFSA2026-20 do MFSA2026-23.