CVE-2026-4700

Ominięcie zabezpieczeń w komponencie HTTP przeglądarki Mozilla Firefox

CVSS 9.8v3.1pub. 2026-03-24upd. 2026-06-30

Podatność w komponencie Networking: HTTP produktów Mozilla Firefox i Thunderbird umożliwia ominięcie istniejących mechanizmów ochronnych (mitigation bypass). Oceniona jako krytyczna z wynikiem CVSS 9.8, może prowadzić do pełnego naruszenia poufności, integralności i dostępności systemu bez wymagania jakiegokolwiek uwierzytelnienia.

▸ Pokaż oryginał (EN)

Mitigation bypass in the Networking: HTTP component. This vulnerability was fixed in Firefox 149, Firefox ESR 140.9, Thunderbird 149, and Thunderbird 140.9.

🤖 Analiza AI

Jak działa

Podatność sklasyfikowana jako CWE-288 wskazuje na obejście mechanizmu uwierzytelniania lub kontroli dostępu za pomocą alternatywnej ścieżki lub kanału w komponencie obsługi protokołu HTTP. Atakujący zdalny, nieuwierzytelniony użytkownik może ominąć istniejące zabezpieczenia sieciowe wdrożone w warstwie HTTP przeglądarki lub klienta pocztowego. Wektor ataku sieciowy (AV:N) przy braku wymagań dotyczących uprawnień (PR:N) i interakcji użytkownika (UI:N) oznacza, że exploit może być przeprowadzony w pełni zdalnie i automatycznie.

Skutki

Skuteczne wykorzystanie podatności może dać atakującemu pełną kontrolę nad atakowanym systemem, skutkując ujawnieniem poufnych danych, modyfikacją zasobów oraz zakłóceniem dostępności usług (wysokie wskaźniki C:H/I:H/A:H w CVSS).

Mitygacja

Należy niezwłocznie zaktualizować do wersji Firefox 149, Firefox ESR 140.9, Thunderbird 149 lub Thunderbird 140.9, w których podatność została naprawiona. Patche dostępne są na oficjalnych stronach producenta oraz opisane w poradnikach bezpieczeństwa Mozilla (MFSA2026-20, MFSA2026-22, MFSA2026-23, MFSA2026-24).

Kogo dotyczy

Mozilla Firefox w wersjach przed 149, Mozilla Firefox ESR w wersjach przed 140.9, Mozilla Thunderbird w wersjach przed 149 oraz Mozilla Thunderbird ESR w wersjach przed 140.9.

Uwagi

Podatność naprawiona jednocześnie w czterech wydaniach: Firefox 149, Firefox ESR 140.9, Thunderbird 149 oraz Thunderbird 140.9, co sugeruje szerokie oddziaływanie na całą rodzinę produktów Mozilla. Brak szczegółowego opisu technicznego w oficjalnym komunikacie ogranicza możliwość dokładnej oceny mechanizmu ataku.