[TLP:CLEAR] Mozilla Firefox a Thunderbird opravují 3 zranitelnosti
Mozilla opravuje 3 zranitelnosti v produktech Firefox a Thunderbird [1][2][3]. Jednotlivé produkty a opravené verze: Firefox - 147.0.2 [1] Thunderbird - 147.0.1, 140.7.1 [2][3]
Neautentizovanému vzdálenému útočníkovi je prostřednictvím zranitelnosti typu use-after-free v prohlížeči Firefox v komponentě Layout: Scrolling and Overflow potenciálně umožněno spustit libovolný kód nebo způsobit odmítnutí služby (DoS) [1][4].
Zranitelnost se nachází v produktu:
- Firefox; >=147.0, <147.0.2
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N
Více informací:
- CVE-2026-24869 na cve.org, NVD
- CWE-416: Use After Free na cwe.mitre.org
Zranitelnost byla veřejně oznámena 27. 1. 2026.
Neautentizovanému vzdálenému útočníkovi je v prohlížeči Firefox v komponentě Privacy: Anti-Tracking umožněno obejít zavedené bezpečnostní opatření [1].
Zranitelnost se nachází v produktu:
- Mozilla Firefox; >=147.0, <147.0.2
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
Více informací:
- CVE-2026-24868 na cve.org, NVD
- CWE-693: Protection Mechanism Failure na cwe.mitre.org
Zranitelnost byla veřejně oznámena 27. 1. 2026.
Neautentizovanému vzdálenému útočníkovi je prostřednictvím CSS-based exfiltrace v HTML obsahu e-mailu a zneužitím toho, že uživatel povolí načítání vzdáleného obsahu a vyžádá dešifrování vložené OpenPGP části zprávy, umožněno získat dešifrovaný obsah z částečně šifrovaných e-mailů v Thunderbirdu [2][3].
Zranitelnost se nachází v produktu:
- Thunderbird; >=147.0, <147.0.1; >= 140.7, <140.7.1
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N
Více informací:
- CVE-2026-0818 na cve.org, NVD
- CWE-116: Improper Encoding or Escaping of Output na cwe.mitre.org
- CWE-200: Exposure of Sensitive Information to an Unauthorized Actor na cwe.mitre.org
- CWE-352: Cross-Site Request Forgery (CSRF) na cwe.mitre.org
Zranitelnost byla veřejně oznámena 27. 1. 2026.
Odkazy
Za CESNET, z.s.p.o. Michaela Jarošová dne 4. 2. 2026.