CVE-2026-6748

Niezainicjowana pamięć w komponencie Web Codecs Mozilla Firefox i Thunderbird

CVSS 9.8v3.1pub. 2026-04-21upd. 2026-06-30

Podatność klasy CWE-457 (użycie niezainicjowanej pamięci) w komponencie Audio/Video Web Codecs aplikacji Mozilla Firefox i Thunderbird pozwala zdalnemu atakującemu na wykonanie arbitralnego kodu bez jakiejkolwiek interakcji użytkownika. Ocena CVSS 9.8 (CRITICAL) wskazuje na wyjątkowo wysokie ryzyko dla organizacji korzystających z tych produktów.

▸ Pokaż oryginał (EN)

Uninitialized memory in the Audio/Video: Web Codecs component. This vulnerability was fixed in Firefox 150, Firefox ESR 140.10, Thunderbird 150, and Thunderbird 140.10.

🤖 Analiza AI

Jak działa

Podatność wynika z użycia niezainicjowanej pamięci w module obsługującym kodeki audio i wideo (Web Codecs). Gdy przeglądarka lub klient poczty przetwarza odpowiednio spreparowane dane multimedialne, może odczytać lub zapisać dane z niezainicjowanych obszarów pamięci. Taki stan może zostać wykorzystany przez atakującego do kontrolowania przepływu wykonania programu, co w konsekwencji może prowadzić do wykonania dowolnego kodu po stronie ofiary.

Skutki

Atakujący może uzyskać pełną kontrolę nad podatną aplikacją, w tym odczytywać poufne dane z pamięci procesu, modyfikować dane oraz wykonywać dowolny kod z uprawnieniami zaatakowanego procesu. Wektor sieciowy bez wymaganych uprawnień i bez interakcji użytkownika (AV:N/AC:L/PR:N/UI:N) sprawia, że exploit może być zdalnie przeprowadzony przez samą wizytę na złośliwej stronie lub otwarcie spreparowanej wiadomości.

Mitygacja

Należy niezwłocznie zaktualizować Mozilla Firefox do wersji 150 lub Firefox ESR do wersji 140.10, a Mozilla Thunderbird do wersji 150 lub Thunderbird ESR do wersji 140.10. Aktualizacje dostępne są bezpośrednio u producenta zgodnie z referencjami: https://www.mozilla.org/security/advisories/mfsa2026-30/ oraz powiązanymi poradnikami bezpieczeństwa.

Kogo dotyczy

Mozilla Firefox w wersjach poprzedzających 150 i Firefox ESR w wersjach poprzedzających 140.10 oraz Mozilla Thunderbird w wersjach poprzedzających 150 i Thunderbird ESR w wersjach poprzedzających 140.10.