CVE-2025-13013
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Podatność w komponencie DOM: Core & HTML w przeglądarce Firefox i kliencie pocztowym Thunderbird pozwala na obejście mechanizmów bezpieczeństwa. Luka została naprawiona w wersjach Firefox 145, Firefox ESR 140.5, Firefox ESR 115.30, Thunderbird 145 i Thunderbird 140.5.
Ocena ryzyka
Osoba atakująca może wykorzystać lukę do obejścia zabezpieczeń przeglądarki lub klienta poczty, co może prowadzić do wykonania niebezpiecznych działań w kontekście użytkownika. Organizacje korzystające z podatnych wersji są narażone na ataki ukierunkowane na przeglądanie stron i obsługę poczty.
Rekomendacja
Zaktualizuj Firefox i Thunderbird do najnowszych wersji (Firefox 145, Firefox ESR 140.5/115.30, Thunderbird 145/140.5) lub nowszych. W pierwszej kolejności zaplanuj aktualizację na stacjach roboczych z dostępem do internetu i poczty.
Inne podatności w Firefox and Thunderbird
Zobacz wszystkie- CVE-2026-113400Średnie
Podatność polegająca na użyciu niezainicjalizowanej pamięci w komponencie Audio/Video: cubeb w przeglądarce Firefox i kliencie poczty Thunderbird. Problem został naprawiony w wersjach 158.0.1 obu produktów.
- CVE-2026-113399Krytyczne
Nieprawidłowe warunki brzegowe w komponencie SVG. Podatność została naprawiona w Firefox 158.0.1 i Thunderbird 158.0.1.
- CVE-2023-29542Krytyczne
Znak nowej linii w nazwie pliku mógł zostać użyty do obejścia mechanizmów bezpieczeństwa rozszerzeń plików, które zastępują złośliwe rozszerzenia (np. .lnk) na .download. Mogło to doprowadzić do przypadkowego wykonania złośliwego kodu. Podatność dotyczy Firefoksa i Thunderbirda na systemie Windows w wersjach Firefox < 112, Firefox ESR < 102.10 i Thunderbird < 102.10.
- CVE-2026-118013Niskie ryzyko· EPSS 4%
Podatność typu use-after-free w komponencie Layout: Images, Video, and HTML Frames przeglądarki Firefox i klienta poczty Thunderbird. Może prowadzić do niezdefiniowanego zachowania lub potencjalnego wykonania kodu. Podatność została naprawiona w wersjach Firefox 159 i Thunderbird 159.
- CVE-2026-118012Niskie ryzyko· EPSS 4%
Podatność typu use-after-free w komponencie DOM: Animation przeglądarki Firefox i klienta poczty Thunderbird. Może prowadzić do niezdefiniowanego zachowania lub potencjalnego wykonania kodu. Podatność została naprawiona w wersjach Firefox 159 i Thunderbird 159.
- CVE-2026-118011Niskie ryzyko· EPSS 4%
Podatność typu frame poisoning w komponencie CSS Parsing and Computation przeglądarki Firefox i klienta poczty Thunderbird. Może prowadzić do niezdefiniowanego zachowania lub potencjalnego wykonania kodu. Podatność została naprawiona w wersjach Firefox 159 i Thunderbird 159.
- CVE-2026-118010Niskie ryzyko· EPSS 4%
Podatność typu use-after-free w komponencie Disability Access APIs przeglądarki Firefox i klienta poczty Thunderbird. Może prowadzić do niezdefiniowanego zachowania lub potencjalnego wykonania kodu. Podatność została naprawiona w wersjach Firefox 159 i Thunderbird 159.
- CVE-2026-118009Niskie ryzyko· EPSS 4%
Podatność typu integer overflow oraz use-after-free w komponencie Graphics: Text przeglądarki Firefox i klienta poczty Thunderbird. Może prowadzić do niezdefiniowanego zachowania lub potencjalnego wykonania kodu. Podatność została naprawiona w wersjach Firefox 159 i Thunderbird 159.
- CVE-2026-118007Niskie ryzyko· EPSS 4%
Podatność typu use-after-free w komponencie JavaScript: GC przeglądarki Firefox i klienta poczty Thunderbird. Może prowadzić do niezdefiniowanego zachowania lub potencjalnego wykonania kodu. Podatność została naprawiona w wersjach Firefox 159 i Thunderbird 159.
- CVE-2026-118006Niskie ryzyko· EPSS 4%
Podatność umożliwiająca podniesienie uprawnień wynikająca z use-after-free w komponencie WebRTC: Signaling przeglądarki Firefox i klienta poczty Thunderbird. Może prowadzić do eskalacji uprawnień w kontekście aplikacji. Podatność została naprawiona w wersjach Firefox 159 i Thunderbird 159.
Oryginalny opis (angielski, źródło NVD)
Mitigation bypass in the DOM: Core & HTML component. This vulnerability was fixed in Firefox 145, Firefox ESR 140.5, Firefox ESR 115.30, Thunderbird 145, and Thunderbird 140.5.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS