CVE-2025-11718
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Gdy pasek adresu był ukryty z powodu przewijania na Androidzie, złośliwa strona mogła utworzyć fałszywy pasek adresu, aby oszukać użytkownika w odpowiedzi na zdarzenie visibilitychange. Podatność została naprawiona w Firefoksie 144.
Ocena ryzyka
Atakujący może wyświetlić fałszywy pasek adresu, aby oszukać użytkownika co do odwiedzanej witryny, co może prowadzić do phishingu i kradzieży danych. Ryzyko dotyczy użytkowników Firefoksa na Androidzie w wersjach przed 144.
Rekomendacja
Update Firefox on Android to version 144 or later.
Inne podatności w Firefox
Zobacz wszystkie- CVE-2026-106016Krytyczne
Podatność w komponencie obsługi plików przeglądarki Firefox umożliwia obejście mechanizmów ochronnych. Luka została naprawiona w wersji 157.0.1.
- CVE-2026-100829Krytyczne
Występuje obejście mechanizmu mitygacji w komponencie DOM: Security. Podatność została naprawiona w Firefox ESR 153.4, Thunderbird 157, Thunderbird 153.4 i Firefox 157.
- CVE-2026-100828Krytyczne
Występuje obejście mechanizmu mitygacji w komponencie Bookmarks & History. Podatność została naprawiona w Firefox ESR 153.4, Thunderbird 157, Thunderbird 153.4 i Firefox 157.
- CVE-2026-100819Krytyczne
Ucieczka z piaskownicy spowodowana nieprawidłowymi warunkami brzegowymi w komponencie XPCOM. Podatność została naprawiona w wielu wersjach Firefoksa i Thunderbirda.
- CVE-2026-100818Krytyczne
Ucieczka z piaskownicy spowodowana użyciem po zwolnieniu (use-after-free) w komponencie Widget: Gtk. Podatność została naprawiona w wielu wersjach Firefoksa i Thunderbirda.
- CVE-2026-100811Krytyczne
Ucieczka z piaskownicy spowodowana użyciem po zwolnieniu (use-after-free) w komponencie DOM: Core & HTML. Podatność została naprawiona w wielu wersjach Firefoksa i Thunderbirda.
- CVE-2026-100810Krytyczne
Występuje inny problem w komponencie DevTools. Podatność została naprawiona w Thunderbird 157 i Firefox 157.
- CVE-2026-100804Krytyczne
Ucieczka z piaskownicy spowodowana użyciem po zwolnieniu (use-after-free) w komponencie Preferences: Backend. Podatność została naprawiona w Thunderbird 157 i Firefox 157.
- CVE-2026-100800Krytyczne
Ucieczka z piaskownicy spowodowana użyciem po zwolnieniu (use-after-free) w komponencie Disability Access APIs. Podatność została naprawiona w Firefox ESR 153.4, Thunderbird 157, Thunderbird 153.4 i Firefox 157.
- CVE-2026-100794Krytyczne
Podatność umożliwia ucieczkę z piaskownicy (sandbox escape) z powodu nieprawidłowych warunków brzegowych w komponencie Internationalization. Została naprawiona w Firefox ESR 153.4, Thunderbird 157, Thunderbird 140.17, Thunderbird 153.4, Firefox 157 oraz Firefox ESR 140.17.
Oryginalny opis (angielski, źródło NVD)
When the address bar was hidden due to scrolling on Android, a malicious page could create a fake address bar to fool the user in response to a visibilitychange event. This vulnerability was fixed in Firefox 144.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS