Mozilla Firefox und Thunderbird: Umgehung der Same-Origin-Policy im DevTools-Bestandteil
Zusammenfassung
Mozilla Firefox und Thunderbird enthalten eine Umgehung der Same-Origin-Policy im DevTools-Bestandteil. Laut CVSS-Vektor kann ein Angreifer über das Netzwerk ohne Berechtigungen und ohne Benutzerinteraktion hohe Auswirkungen auf Vertraulichkeit und Integrität erzielen. Mozilla stuft die Gesamtauswirkung im Advisory als hoch ein, und CISA SSVC führt die Ausnutzung als keine auf. Weitere Bedingungen für eine Ausnutzung sind unbekannt.
Betroffen
- Mozilla Firefox Versionen vor 158 (genauer Bereich von Mozilla in den verfügbaren Quellen nicht bestätigt)
- Mozilla Thunderbird Versionen vor 158 (genauer Bereich von Mozilla in den verfügbaren Quellen nicht bestätigt)
- NVD-Status: Deferred
Behoben in
- Mozilla Firefox 158
- Mozilla Thunderbird 158
Umgehung
Unbekannt.
Ausnutzung
- In den geprüften Quellen ist keine öffentliche Ausnutzung gemeldet.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
Unsere Empfehlung
- Firefox und Thunderbird auf allen Systemen auf Version 158 oder neuer aktualisieren.
- Ältere Browser- oder Mail-Client-Installationen prüfen, inklusive verwalteter und portabler Installationen.
- Mozilla-Advisories auf Updates zu dieser CVE überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Mozilla Security Advisory MFSA 2026-106 (Firefox 158) www.mozilla.org
- Mozilla Security Advisory MFSA 2026-109 (Thunderbird 158) www.mozilla.org
- Ubuntu Security Notice CVE-2026-109772 ubuntu.com
- Mozilla Bugzilla bug 2066063 bugzilla.mozilla.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:50.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.