Mozilla Firefox und Thunderbird: Nicht näher bezeichnete Schwachstelle in DOM-File-Komponente
Zusammenfassung
Mozilla Firefox, Firefox ESR und Thunderbird enthalten eine Schwachstelle in der DOM-File-Komponente, die Mozilla nur als 'Other issue in the DOM: File component' beschreibt. Mozilla stuft die Auswirkung in seinem Advisory als hoch ein, der Fehlerbericht ist jedoch zugriffsbeschränkt, weshalb die Angriffsdetails unbekannt sind. Der CVSS-Wert 8.1 und die CWE-79-Klassifikation in den Eingabedaten konnten nicht bestätigt werden und sollten vor der Verwendung in der NVD geprüft werden.
Betroffen
- Mozilla Firefox und Firefox ESR vor 158 / 153.5 (genaue betroffene Version in den Quellen nicht angegeben)
- Mozilla Thunderbird vor 158 / 153.5 (genaue betroffene Version in den Quellen nicht angegeben)
- Ubuntu 22.04 LTS (jammy): thunderbird als verwundbar aufgeführt
Behoben in
- Firefox 158 oder neuer
- Firefox ESR 153.5 oder neuer
- Thunderbird 158 oder neuer
- Thunderbird 153.5 oder neuer
Umgehung
Unbekannt. Kein Workaround des Herstellers gefunden; die korrigierten Versionen installieren.
Ausnutzung
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, vollständige technische Auswirkung
- Laut Strix nicht im KEV-Katalog als aktiv ausgenutzt gelistet
- Kein öffentlicher Proof of Concept und keine Berichte über Ausnutzung in freier Wildbahn gefunden
- Fehlende Ausnutzung ist nicht bestätigt
Unsere Empfehlung
- Firefox, Firefox ESR und Thunderbird auf die korrigierten Versionen aktualisieren, mit Priorität auf verwaltete Thunderbird-Installationen, ESR-Bereitstellungen und Linux-Pakete
- Auf allen Endgeräten prüfen, welche Browser- und Mail-Client-Versionen eingesetzt werden
- Die Version anhand der Herstellerhinweise und der NVD prüfen, da die Schweregradangaben in den Eingabedaten nicht bestätigt sind
- Herstellerhinweise auf weitere Informationen überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Mozilla Security Advisory MFSA 2026-106 (Firefox 158) www.mozilla.org
- Mozilla Security Advisory MFSA 2026-108 (Firefox ESR) www.mozilla.org
- Mozilla Security Advisory MFSA 2026-109 www.mozilla.org
- Mozilla Security Advisory MFSA 2026-110 www.mozilla.org
- Mozilla Bugzilla bug 2059211 bugzilla.mozilla.org
- Ubuntu CVE tracker entry ubuntu.com
- SUSE CVE entry via Vulners vulners.com
- HKCERT security bulletin on Mozilla products www.hkcert.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 19:48.
Referenzen der NVD (5)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.