Mozilla Firefox und Thunderbird: Fehlerhafte Grenzprüfung im DOM-Editor
Zusammenfassung
Firefox und Thunderbird enthalten eine fehlerhafte Grenzprüfung in der Komponente DOM-Editor, die bearbeitbare Seiteninhalte verarbeitet. Ein Angreifer kann einen Benutzer dazu bringen, eine präparierte Webseite zu besuchen oder präparierte E-Mail-Inhalte zu öffnen, um die Schwachstelle auszulösen, was hohe Auswirkungen auf Vertraulichkeit und Integrität haben kann. Es ist keine Authentifizierung nötig, wohl aber eine Interaktion des Benutzers. Die NVD-Analyse ist noch ausstehend, daher ist der Wert 8.1 nicht durch die NVD bestätigt.
Betroffen
- Mozilla Firefox-Versionen vor 158 und Firefox ESR-Versionen vor 153.5 (abgeleitet aus den korrigierten Versionen; kein expliziter betroffener Bereich gefunden)
- Mozilla Thunderbird-Versionen vor 158 und Thunderbird-Versionen vor 153.5 (abgeleitet aus den korrigierten Versionen; kein expliziter betroffener Bereich gefunden)
Behoben in
- Firefox 158
- Firefox ESR 153.5
- Thunderbird 158
- Thunderbird 153.5
Neuere Versionen enthalten die Korrektur möglicherweise ebenfalls; installieren Sie die aktuelle stabile oder ESR-Version.
Umgehung
Unbekannt. Mozilla dokumentiert in den geprüften Quellen keine Gegenmassnahme; das Aktualisieren ist die Korrektur.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung gefunden; die Quellen führen die Schwachstelle nicht als bekannt ausgenutzt.
- CISA-SSVC-Bewertung: Exploitation none, Automatable no, Technical Impact total.
- Kein öffentlicher Proof of Concept gefunden.
- Mozilla nennt als Melder Mozilla selbst, die Schwachstelle wurde daher vermutlich intern gefunden.
Unsere Empfehlung
- Aktualisieren Sie Firefox, Firefox ESR und Thunderbird auf allen Endgeräten auf die aktuelle stabile oder ESR-Version.
- Prüfen Sie die installierten Versionen auf verwalteten Geräten, insbesondere Thunderbird auf älteren Linux-Distributionen und ESR-Installationen.
- Prüfen Sie den Patch-Status der Linux-Distributionen, da einige Thunderbird als verwundbar ausweisen.
- Verfolgen Sie Updates und beachten Sie die Auswirkungsbewertung in Mozillas Advisory für Ihr Produkt, da Mozilla Thunderbird als moderat einstuft.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Mozilla MFSA 2026-110 (Thunderbird) www.mozilla.org
- Mozilla MFSA 2026-106 (Firefox 158) www.mozilla.org
- Mozilla MFSA 2026-108 www.mozilla.org
- Mozilla MFSA 2026-109 www.mozilla.org
- Ubuntu CVE-2026-109754 ubuntu.com
- Red Hat RHSA-2026:89757 via Vulners vulners.com
- Vulnrichment via Vulners vulners.com
- Mozilla Bugzilla 2068443 (access restricted) bugzilla.mozilla.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 19:46.
Referenzen der NVD (5)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.