CVE-2026-4724

Niezdefiniowane zachowanie w komponencie Audio/Video Mozilla Firefox i Thunderbird

CVSS 9.1v3.1pub. 2026-03-24upd. 2026-04-13

Podatność klasy CWE-758 (undefined behavior) w komponencie Audio/Video przeglądarki Firefox oraz klienta pocztowego Thunderbird umożliwia zdalnym atakującym naruszenie poufności i integralności danych bez jakiejkolwiek autoryzacji. Ocena CVSS 9.1 (Critical) wskazuje na wysoką krytyczność zagrożenia.

▸ Pokaż oryginał (EN)

Undefined behavior in the Audio/Video component. This vulnerability was fixed in Firefox 149 and Thunderbird 149.

🤖 Analiza AI

Jak działa

Błąd polega na niezdefiniowanym zachowaniu (undefined behavior) w module odpowiedzialnym za obsługę treści audio i wideo. Niezdefiniowane zachowanie oznacza, że kod wykonuje operacje, których skutki nie są określone przez specyfikację języka lub platformy, co może prowadzić do przewidywalnych lub kontrolowalnych przez atakującego konsekwencji. Atakujący może potencjalnie wywołać ten błąd poprzez spreparowaną treść multimedialną dostarczaną zdalnie, bez konieczności interakcji użytkownika ani posiadania uprawnień.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do poufnych danych przetwarzanych przez aplikację (wysoka utrata poufności) oraz doprowadzić do modyfikacji danych lub pamięci procesu (wysoka utrata integralności). Atak możliwy jest zdalnie, bez uwierzytelnienia i bez interakcji użytkownika.

Mitygacja

Należy niezwłocznie zaktualizować Mozilla Firefox do wersji 149 lub nowszej oraz Mozilla Thunderbird do wersji 149 lub nowszej. Szczegóły poprawek dostępne są w poradnikach bezpieczeństwa producenta: mfsa2026-20 (Firefox) i mfsa2026-23 (Thunderbird).