Mozilla Firefox und Thunderbird: Rechteausweitung in der Komponente DOM Navigation
Zusammenfassung
Eine Rechteausweitung in der Komponente DOM Navigation von Mozilla Firefox und Thunderbird ist in Firefox 159 und Thunderbird 159 behoben. Mozilla bewertet den CVSS-3.1-Basiswert mit 8.8 (High), wobei Netzwerkzugriff ohne Berechtigungen und mit Benutzerinteraktion nötig ist und die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit hoch sind. In der Praxis müsste ein Benutzer eine manipulierte oder kompromittierte Seite besuchen oder einen Link öffnen. Der CNA-Eintrag meldet keine bekannte Ausnutzung, und CISA SSVC stuft die Automatisierbarkeit als nicht gegeben ein.
Betroffen
- Mozilla Firefox (Versionen vor 159 gemäss Hersteller-Advisory; genauer Bereich im CVE-Eintrag nicht bestätigt)
- Mozilla Thunderbird (Versionen vor 159; genauer Bereich nicht bestätigt)
- Ubuntu 22.04 LTS: Thunderbird als verwundbar aufgeführt, keine korrigierte Paketversion angegeben
Behoben in
- Firefox 159
- Thunderbird 159
Umgehung
Unbekannt.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn per 27. Okt. 2026 (OffSeq, kein Eintrag im CISA KEV)
- Kein öffentlicher Proof of Concept gefunden per 26. Okt. 2026
- CISA SSVC: Ausnutzung keine, Automatisierbarkeit nein, technische Auswirkung total
- EPSS: 0.35 %
Unsere Empfehlung
- Firefox und Thunderbird über den normalen Update-Zyklus auf Version 159 oder neuer aktualisieren
- Die ESR-Advisories MFSA 2026-119 und MFSA 2026-120 prüfen und ESR-Installationen entsprechend aktualisieren
- Browser- und Mail-Clients inventarisieren und Browser-Flotten priorisieren, da diese internetexponiert sind
- Die Mozilla-Advisories auf Aktualisierungen der Versionsangaben und des Ausnutzungsstatus überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Mozilla MFSA 2026-118 (Firefox 159) www.mozilla.org
- Mozilla MFSA 2026-121 (Thunderbird 159) www.mozilla.org
- Mozilla Bugzilla 2075440 bugzilla.mozilla.org
- Ubuntu CVE tracker ubuntu.com
- OffSeq threat radar radar.offseq.com
- VulDB vuldb.com
- Strix CVE-2026-118008 www.strix.ai
- Tenable Thunderbird plugin www.tenable.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 10:14.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.