CVE-2024-9398
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 45 - wyżej niż 45% wszystkich znanych CVE
Streszczenie
Podatność w przeglądarce Firefox oraz kliencie poczty Thunderbird pozwala atakującemu sprawdzić, czy aplikacja obsługująca konkretny protokół jest zainstalowana, poprzez analizę wyników wywołań window.open z ustawionymi handlerami protokołów. Problem dotyczy wersji Firefox < 131, Firefox ESR < 128.3, Thunderbird < 128.3 i Thunderbird < 131.
Ocena ryzyka
Atakujący może zdalnie wykryć obecność zainstalowanych aplikacji na komputerze użytkownika, co ułatwia profilowanie celu i planowanie dalszych ataków. Ryzyko jest szczególnie istotne dla użytkowników przeglądarek i klientów poczty w środowiskach firmowych.
Rekomendacja
Zaktualizuj Firefox do wersji 131 lub nowszej, Firefox ESR do 128.3 lub nowszej oraz Thunderbird do 128.3 lub 131 i nowszej. Wdrożenie aktualizacji najlepiej przeprowadzić przez centralne narzędzia zarządzania.
Inne podatności w Firefox, Thunderbird
Zobacz wszystkie- CVE-2026-109781Średnie
Podatność typu denial-of-service w komponencie Printing: Output. Została naprawiona w Firefox 158, Firefox ESR 153.5, Thunderbird 158 i Thunderbird 153.5.
- CVE-2026-109779Średnie
Podatność typu race condition w komponencie Networking: DNS. Została naprawiona w Firefox 158 i Thunderbird 158.
- CVE-2026-16408Krytyczne
Przepełnienie liczb całkowitych w komponencie Audio/Wideo: Odtwarzanie w Firefoksie i Thunderbirdzie. Podatność została naprawiona w wersjach 153.
- CVE-2026-16395Krytyczne
Przepełnienie liczb całkowitych w komponencie Audio/Wideo w Firefoksie i Thunderbirdzie. Podatność została naprawiona w wersjach 153.
- CVE-2026-4729Krytyczne
W przeglądarce Firefox 148 i kliencie poczty Thunderbird 148 wykryto błędy bezpieczeństwa pamięci. Niektóre z nich powodowały uszkodzenie pamięci, co mogło potencjalnie umożliwić wykonanie dowolnego kodu. Luki zostały załatane w wersjach Firefox 149 i Thunderbird 149.
- CVE-2026-4720Krytyczne
W przeglądarce Firefox ESR 140.8, Thunderbird ESR 140.8, Firefox 148 i Thunderbird 148 wykryto błędy bezpieczeństwa pamięci. Niektóre z nich mogły prowadzić do uszkodzenia pamięci, co przy odpowiednim nakładzie pracy mogło umożliwić zdalne wykonanie dowolnego kodu.
- CVE-2026-2807Krytyczne
W przeglądarce Firefox 147 i kliencie poczty Thunderbird 147 wykryto błędy bezpieczeństwa pamięci. Niektóre z nich mogły prowadzić do uszkodzenia pamięci, co przy odpowiednim nakładzie pracy mogłoby umożliwić zdalne wykonanie dowolnego kodu. Luka została naprawiona w wersjach Firefox 148 i Thunderbird 148.
- CVE-2026-2792Krytyczne
W przeglądarkach Firefox ESR 140.7, Firefox 147 oraz klientach poczty Thunderbird ESR 140.7 i Thunderbird 147 wykryto błędy bezpieczeństwa pamięci. Niektóre z nich prowadziły do uszkodzenia pamięci, co przy odpowiednim nakładzie pracy mogło umożliwić zdalne wykonanie dowolnego kodu.
- CVE-2026-74978Wysokie
Podatność typu clickjacking w komponencie Widget w przeglądarce Firefox i kliencie poczty Thunderbird. Problem został naprawiony w wersjach Firefox 154, Firefox ESR 153.1, Thunderbird 154 i Thunderbird 153.1.
- CVE-2026-74977Wysokie
Przepełnienie liczby całkowitej w komponencie Graphics w przeglądarce Firefox i kliencie poczty Thunderbird. Problem został naprawiony w wersjach Firefox 154, Firefox ESR 153.1, Thunderbird 154 i Thunderbird 153.1.
Oryginalny opis (angielski, źródło NVD)
By checking the result of calls to `window.open` with specifically set protocol handlers, an attacker could determine if the application which implements that protocol handler is installed. This vulnerability affects Firefox < 131, Firefox ESR < 128.3, Thunderbird < 128.3, and Thunderbird < 131.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS