Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] Mozilla opravuje viac než 40 zraniteľností

Mozilla opravuje viac než 40 zraniteľností v rôznych produktoch. Vybrané zraniteľnosti sú uvedené nižšie, zvyšné nájdete na [1] po rozkliknutí jednotlivých varovaní. Jednotlivé produkty a ich opravené verzie: Firefox - 152 [2] Firefox for iOS - 152.0 [3] Firefox ESR 115.37 [4], 140.12 [5] Thunderbird - 152 [6] Thunderbird ESR - 140.12 [7]

Mozilla Firefox, Firefox ESR, Thunderbird, Thunderbird ESR - eskalácia oprávnení (CVE-2026-12289)
CVSS 8.8 (High)

Neautentizovanému vzdialenému útočníkovi je kvôli bližšie nešpecifikovanej chybe v komponente Graphics: WebRender umožnené eskalovať svoje oprávnenia [8].

Zraniteľnosť sa nachádza v produktoch:

  • Mozilla Firefox; <152
  • Mozilla Firefox ESR; >=140, <140.12; >=115, <115.37
  • Mozilla Thunderbird; <152
  • Mozilla Thunderbird ESR; >=140, <140.12

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 16. 6. 2026.

Mozilla Firefox, Firefox ESR, Thunderbird, Thunderbird ESR - únik zo sandboxu (CVE-2026-12294)
CVSS 7.5 (High)

Útočníkovi je prostredníctvom zraniteľnosti v komponente DOM: Workers umožnené uniknúť zo sandboxu prehliadača [9].

Zraniteľnosť sa nachádza v produktoch:

  • Mozilla Firefox; <152
  • Mozilla Firefox ESR; >=140, <140.12; >=115, <115.37
  • Mozilla Thunderbird; <152
  • Mozilla Thunderbird ESR; >=140, <140.12

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 16. 6. 2026.

Mozilla Firefox, Firefox ESR, Thunderbird, Thunderbird ESR - use-after-free (CVE-2026-12291)
CVSS 7.5 (High)

Útočníkovi je kvôli zraniteľnosti typu use-after-free v komponente Networking: HTTP umožnené spôsobiť pád aplikácie a potenciálne spustiť ľubovoľný kód [10].

Zraniteľnosť sa nachádza v produktoch:

  • Mozilla Firefox; <152
  • Mozilla Firefox ESR; >=140, <140.12; >=115, <115.37
  • Mozilla Thunderbird; <152
  • Mozilla Thunderbird ESR; >=140, <140.12

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 16. 6. 2026.

Mozilla Firefox, Firefox ESR, Thunderbird, Thunderbird ESR - spustenie ľubovoľného kódu (CVE-2026-12328)
CVSS 8.1 (High)

Neautentizovanému vzdialenému útočníkovi je kvôli chybám bezpečnosti pamäte vedúcim k jej poškodeniu umožnené spustiť ľubovoľný kód [11].

Zraniteľnosť sa nachádza v produktoch:

  • Mozilla Firefox; <152
  • Mozilla Firefox ESR; >=140, <140.12; >=115, <115.37
  • Mozilla Thunderbird; <152
  • Mozilla Thunderbird ESR; >=140, <140.12

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

  • CVE-2026-12328 na cve.org, NVD
  • CWE-119: Improper Restriction of Operations within the Bounds of a Memory Buffer na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 16. 6. 2026.

Mozilla Firefox for iOS - vloženie ľubovoľných cookies (CVE-2026-53900)
CVSS 4.3 (Medium)

Neautentizovanému vzdialenému útočníkovi je kvôli zachovaniu cookies pri presmerovaní PDF požiadavky medzi rôznymi doménami umožnené vložiť ľubovoľné cookies do požiadaviek odosielaných nesúvisiacej cieľovej doméne vo Firefoxe pre iOS [12].

Zraniteľnosť sa nachádza v produkte:

  • Firefox for iOS; <152

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 16. 6. 2026.

Za CESNET, z.s.p.o. Michaela Jarošová dňa 17. 6. 2026.

CESNET, z.s.p.o. Logo