CVE-2026-4705

Podatność wynika z niezdefiniowanego zachowania (undefined behavior) w komponencie odpowiedzialnym za sygnalizację WebRTC. Niezdefiniowane zachowanie oznacza, że kod programu wykonuje operacje, których skutki nie są określone przez specyfikację języka, co może prowadzić do nieprzewidywalnych rezultatów — w tym uszkodzenia pamięci lub wykonania niezamierzonego kodu. Wektor ataku jest sieciowy, nie wymaga interakcji użytkownika ani posiadania jakichkolwiek uprawnień, co czyni tę podatność szczególnie niebezpieczną.

Atakujący może potencjalnie uzyskać pełną kontrolę nad poufnością, integralnością i dostępnością systemu — co odpowiada ocenom C:H/I:H/A:H w wektorze CVSS. Exploit może być przeprowadzony zdalnie bez uwierzytelnienia.

Należy niezwłocznie zaktualizować oprogramowanie do wersji: Firefox 149, Firefox ESR 140.9, Thunderbird 149 lub Thunderbird 140.9, w których podatność została naprawiona. Aktualizacje dostępne są u producenta zgodnie z referencjami (mfsa2026-20, mfsa2026-22, mfsa2026-23, mfsa2026-24).

Mozilla Firefox w wersjach przed 149, Mozilla Firefox ESR w wersjach przed 140.9, Mozilla Thunderbird w wersjach przed 149 oraz Mozilla Thunderbird ESR w wersjach przed 140.9.

Podatność została sklasyfikowana jako CWE-758 (Reliance on Undefined, Unspecified, or Implementation-Defined Behavior) oraz NVD-CWE-noinfo, co oznacza ograniczone informacje techniczne na temat szczegółowego mechanizmu. Szczegóły błędu dostępne są w Mozilla Bugzilla pod numerem 2014873.