CVE-2024-3863
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 57 - wyżej niż 57% wszystkich znanych CVE
Streszczenie
Ostrzeżenie o pliku wykonywalnym nie było wyświetlane przy pobieraniu plików .xrm-ms. Problem dotyczył wyłącznie systemów Windows. Luka wpływa na Firefox przed 125, Firefox ESR przed 115.10 i Thunderbird przed 115.10.
Ocena ryzyka
Użytkownik na Windows może pobrać plik .xrm-ms bez ostrzeżenia o potencjalnie wykonywalnej zawartości. Zwiększa to ryzyko uruchomienia złośliwego pliku przez nieświadomego użytkownika.
Rekomendacja
Zaktualizuj Firefox do wersji 125 lub nowszej, Firefox ESR do 115.10 lub nowszej oraz Thunderbird do 115.10 lub nowszej. Zachowaj ostrożność przy pobieraniu plików .xrm-ms.
Inne podatności w Firefox
Zobacz wszystkie- CVE-2026-113470Średnie
Mozilla zablokowała skompromitowane certyfikaty pośrednie eMudhra za pomocą OneCRL 17 października, a lista została rozesłana do klientów przez RemoteSettings tego samego dnia. Ta aktualizacja zawiera zaktualizowaną listę blokad OneCRL, zapewniając, że klienci będą blokować skompromitowane certyfikaty nawet jeśli RemoteSettings jest wyłączony przez politykę lub niedostępny w sieci użytkownika. Luka została naprawiona w Firefox 158.0.1, Firefox ESR 153.5.1, Firefox ESR 115.43.1, Thunderbird 158.0.1 i Thunderbird 153.5.1.
- CVE-2026-113401Średnie
W komponencie PDF Viewer w Firefoksie występuje luka umożliwiająca atak typu denial-of-service (odmowa usługi). Luka została naprawiona w wersji Firefox 158.0.1 i Thunderbird 158.0.1.
- CVE-2026-117920Krytyczne
Podatność typu use-after-free w komponencie DOM: HTML Parser przeglądarki Firefox i klienta poczty Thunderbird. Została naprawiona w wersjach Firefox 159, Firefox ESR 153.6, Thunderbird 159 oraz Thunderbird 153.6.
- CVE-2026-117917Krytyczne
Podatność związana z nieprawidłowym wskaźnikiem w komponencie Graphics: WebRender przeglądarki Firefox i klienta poczty Thunderbird. Została naprawiona w wersjach Firefox 159, Firefox ESR 115.44, Firefox ESR 153.6, Thunderbird 159 oraz Thunderbird 153.6.
- CVE-2026-117868Krytyczne
Podatność polegająca na ucieczce z piaskownicy (sandbox escape) w komponencie DOM: Networking przeglądarki Firefox i klienta Thunderbird. Może umożliwić obejście mechanizmów izolacji procesów. Naprawiono w wersjach Firefox 159, Firefox ESR 115.44, Firefox ESR 153.6, Thunderbird 159 i Thunderbird 153.6.
- CVE-2026-117862Krytyczne
Podatność umożliwiająca podniesienie uprawnień z powodu nieprawidłowych warunków brzegowych w komponencie Networking przeglądarki Firefox i klienta Thunderbird. Może pozwolić na uzyskanie wyższych uprawnień w obrębie procesu. Naprawiono w wersjach Firefox 159, Firefox ESR 115.44, Firefox ESR 153.6, Thunderbird 159 i Thunderbird 153.6.
- CVE-2026-117861Krytyczne
Podatność umożliwiająca ucieczkę z piaskownicy (sandbox escape) w komponencie DOM: Navigation przeglądarki Firefox i klienta Thunderbird. Może pozwolić na obejście izolacji procesów i uzyskanie wyższych uprawnień. Naprawiono w wersjach Firefox 159, Firefox ESR 153.6, Thunderbird 159 i Thunderbird 153.6.
- CVE-2026-109780Krytyczne
Podatność w komponencie DOM: Core & HTML umożliwia obejście mechanizmów ochronnych. Problem został naprawiony w przeglądarce Firefox 158 i kliencie poczty Thunderbird 158.
- CVE-2026-109774Krytyczne
Nieprawidłowy wskaźnik i niezdefiniowane zachowanie w komponencie DOM: Notifications. Problem naprawiono w Firefox 158 i Thunderbird 158.
- CVE-2026-109772Krytyczne
Obejście zasady same-origin w komponencie DevTools. Problem naprawiono w Firefox 158 i Thunderbird 158.
Oryginalny opis (angielski, źródło NVD)
The executable file warning was not presented when downloading .xrm-ms files. *Note: This issue only affected Windows operating systems. Other operating systems are unaffected.* This vulnerability affects Firefox < 125, Firefox ESR < 115.10, and Thunderbird < 115.10.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS