CVE-2026-8948

Obejście same-origin policy w komponencie DOM/Networking Mozilla Firefox i Thunderbird

CVSS 9.1v3.1pub. 2026-05-19upd. 2026-06-30

Podatność w Mozilla Firefox i Thunderbird umożliwia obejście mechanizmu same-origin policy (SOP) w komponencie DOM/Networking. Jest to podatność klasy CWE-942 (nadmiernie permisywna polityka CORS/origin), która może prowadzić do nieautoryzowanego dostępu do danych i ich modyfikacji między różnymi źródłami.

▸ Pokaż oryginał (EN)

Same-origin policy bypass in the DOM: Networking component. This vulnerability was fixed in Firefox 151 and Thunderbird 151.

🤖 Analiza AI

Jak działa

Błąd polega na nieprawidłowej implementacji mechanizmu same-origin policy w komponencie odpowiedzialnym za obsługę sieci (Networking) w ramach modelu DOM. Polityka same-origin stanowi fundament bezpieczeństwa przeglądarek — jej obejście oznacza, że złośliwa strona internetowa może wykonywać żądania i odczytywać odpowiedzi z innych źródeł (origin), do których normalnie nie powinna mieć dostępu. Podatność jest dostępna zdalnie, bez uwierzytelnienia i bez interakcji użytkownika, co znacząco obniża próg jej wykorzystania.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do poufnych danych należących do innych źródeł (np. ciasteczek sesji, danych formularzy, odpowiedzi API) oraz modyfikować dane w kontekście innych stron — przy czym wektor CVSS wskazuje na wysoki wpływ na poufność i integralność, bez wpływu na dostępność.

Mitygacja

Należy niezwłocznie zaktualizować Mozilla Firefox do wersji 151 lub nowszej oraz Mozilla Thunderbird do wersji 151 lub nowszej. Poprawki zostały opisane w biuletynach bezpieczeństwa Mozilla: mfsa2026-46 (Firefox) i mfsa2026-50 (Thunderbird).