Mozilla - CVE-2026-117870
Date de publication :
Il s’agit d’une vulnérabilité dans le moteur JavaScript de Firefox, Firefox ESR et Thunderbird.
Mozilla Firefox est un navigateur Internet open source. Firefox ESR en est la version à support étendu, et Thunderbird est le client de messagerie, de calendrier et de flux RSS de Mozilla.
Ce moteur exécute le code JavaScript des pages web. Le défaut est un use-after-free, c’est-à-dire une utilisation de mémoire après sa libération. Mozilla classe la faille high, la publie sans aucun détail technique et garde le rapport de bug 2068395 restreint. Dans Thunderbird, Mozilla précise que de nombreuses failles de cette série ne sont pas exploitables par courriel, car les scripts sont désactivés à la lecture des messages.
Elle permet une corruption de mémoire dans le processus concerné, dont l’impact exact n’est pas précisé par l’éditeur.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
Exécution de code arbitraire (à distance)
Exploitation
CWE-416 : Use After Free
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Oui
• L'exploitation de la faille permet d'obtenir des droits privilégiés : En attente d’information
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
Firefox versions antérieures à 159
- Firefox ESR versions antérieures à 153.6 (branche 153)
- Firefox ESR versions antérieures à 115.44 (branche 115)
- Thunderbird versions antérieures à 159
- Thunderbird versions antérieures à 153.6 (branche 153)
Solutions ou recommandations
• Firefox ESR versions 153.6 et supérieures (branche 153)
• Firefox ESR versions 115.44 et supérieures (branche 115)
• Thunderbird versions 159 et supérieures
• Thunderbird versions 153.6 et supérieures (branche 153)