CVE-2026-84138

Mozilla zablokowała skompromitowane certyfikaty pośrednie eMudhra za pomocą OneCRL 17 października, a lista została rozesłana do klientów przez RemoteSettings tego samego dnia. Ta aktualizacja zawiera zaktualizowaną listę blokad OneCRL, zapewniając, że klienci będą blokować skompromitowane certyfikaty nawet jeśli RemoteSettings jest wyłączony przez politykę lub niedostępny w sieci użytkownika. Luka została naprawiona w Firefox 158.0.1, Firefox ESR 153.5.1, Firefox ESR 115.43.1, Thunderbird 158.0.1 i Thunderbird 153.5.1.

W komponencie PDF Viewer w Firefoksie występuje luka umożliwiająca atak typu denial-of-service (odmowa usługi). Luka została naprawiona w wersji Firefox 158.0.1 i Thunderbird 158.0.1.

Podatność w komponencie DOM: Core & HTML umożliwia obejście mechanizmów ochronnych. Problem został naprawiony w przeglądarce Firefox 158 i kliencie poczty Thunderbird 158.

Nieprawidłowy wskaźnik i niezdefiniowane zachowanie w komponencie DOM: Notifications. Problem naprawiono w Firefox 158 i Thunderbird 158.

Obejście zasady same-origin w komponencie DevTools. Problem naprawiono w Firefox 158 i Thunderbird 158.

Podatność w komponencie DOM: Content Processes umożliwia ucieczkę z piaskownicy. Została naprawiona w przeglądarce Firefox 158 i Thunderbird 158.

Podatność w komponencie DOM: Web Authentication powoduje problem z izolacją witryn. Została naprawiona w przeglądarce Firefox 158 i Thunderbird 158.

Ucieczka z piaskownicy z powodu niezainicjalizowanej pamięci w komponencie DOM: Web Serial. Została naprawiona w przeglądarce Firefox 158, Firefox ESR 153.5, Thunderbird 158 i Thunderbird 153.5.

Podatność umożliwiająca ucieczkę z piaskownicy z powodu nieprawidłowych warunków brzegowych w komponencie Widget: Win32. Luka została naprawiona w Firefox 158, Firefox ESR 153.5, Thunderbird 158 i Thunderbird 153.5.

Występuje obejście mechanizmu mitygacji w komponencie obsługi plików. Podatność została naprawiona w Firefox 157.0.1 oraz Thunderbird 158.