Mozilla publikuje nowe aktualizacje swoich produktów. (P25-238)

cert.pse-online.pl 1 dzień temu

Produkt	Firefox na iOS – wersje starsze niż 141 Firefox ESR – wersje starsze niż 140.1 Firefox ESR – wersje starsze niż 128.13 Firefox ESR – wersje starsze niż 115.26 Firefox – wersje starsze niż 141
Numer CVE	CVE-2025-8032
Krytyczność	1.2/10
CVSS	AV:N/AC:L/AT:N/PR:N/UI:A/VC:L/VI:N/VA:N/SC:L/SI:N/SA:N/E:U/U
Opis	Luka wynika z nieprawidłowej propagacji dokumentu źródłowego podczas ładowania dokumentu XSLT. Zdalny atakujący może ominąć ograniczenia CSP.

Numer CVE	CVE-2025-8035
Krytyczność	6.1/10
CVSS	AV:N/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:U/U
Opis	Luka wynika z błędu granicznego. Zdalny atakujący może nakłonić ofiarę do odwiedzenia specjalnie spreparowanej witryny, spowodować uszkodzenie pamięci i wykonać dowolny kod w systemie docelowym.

Numer CVE	CVE-2025-8040
Krytyczność	6.1/10
CVSS	AV:N/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:U/U:Amber
Opis	Luka wynika z błędu granicznego. Zdalny atakujący może nakłonić ofiarę do odwiedzenia specjalnie spreparowanej witryny, spowodować uszkodzenie pamięci i wykonać dowolny kod w systemie docelowym.

Numer CVE	CVE-2025-8034
Krytyczność	6.1/10
CVSS	AV:N/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:U/U:Amber
Opis	Luka wynika z błędu granicznego. Zdalny atakujący może nakłonić ofiarę do odwiedzenia specjalnie spreparowanej witryny, spowodować uszkodzenie pamięci i wykonać dowolny kod w systemie docelowym.

Numer CVE	CVE-2025-8033
Krytyczność	1.2/10
CVSS	AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N/E:U/U:Clear
Opis	Luka wynika z błędu dereferencji wskaźnika NULL w silniku JavaScript podczas obsługi zamkniętych generatorów. Zdalny atakujący może nakłonić ofiarę do odwiedzenia specjalnie spreparowanej witryny i spowodować awarię przeglądarki.

Numer CVE	CVE-2025-8039
Krytyczność	0.5/10
CVSS	AV:N/AC:H/AT:N/PR:N/UI:A/VC:N/VI:N/VA:N/SC:L/SI:N/SA:N/E:U/U:Clear
Opis	Luka występuje, ponieważ w niektórych przypadkach wyszukiwane hasła pozostają w pasku adresu URL choćby po opuszczeniu strony wyszukiwania. Zdalny atakujący może uzyskać informacje o poprzednich wyszukiwaniach.

Numer CVE	CVE-2025-8038
Krytyczność	0.5/10
CVSS	AV:N/AC:H/AT:N/PR:N/UI:A/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N/E:U/U:Clear
Opis	Luka występuje, ponieważ Firefox ignoruje ścieżki podczas sprawdzania poprawności nawigacji w ramce. Zdalny atakujący może ominąć ustawienie CSP frame-src.

Numer CVE	CVE-2025-8031
Krytyczność	0.5/10
CVSS	AV:N/AC:H/AT:N/PR:N/UI:A/VC:L/VI:N/VA:N/SC:L/SI:N/SA:N/E:U/U:Clear
Opis	Luka wynika z usuwania danych w raportach CSP. Nazwa użytkownika: hasło nie zostało usunięte z adresu URL w raportach CSP, co dotyczy innego urządzenia niż dane podstawowe HTTP.

Numer CVE	CVE-2025-8027
Krytyczność	6.1/10
CVSS	AV:N/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:U/U:Amber
Opis	Luka występuje w systemach 64-bitowych, ponieważ silnik JavaScript IonMonkey-JIT zapisuje tylko 32 bity z 64-bitowej przestrzeni wartości zwracanych na stosie, ale odczytuje całe 64 bity. Zdalny atakujący może nakłonić ofiarę do odwiedzenia specjalnie spreparowanej strony internetowej i wykonania dowolnego kodu w systemie.

Numer CVE	CVE-2025-8030
Krytyczność	1.2/10
CVSS	AV:N/AC:H/AT:N/PR:N/UI:A/VC:N/VI:N/VA:N/SC:H/SI:H/SA:N/E:U/U:Green
Opis	Luka wynika z nieprawidłowej walidacji danych wejściowych w funkcji „Kopiuj jako cURL”. Zdalny atakujący może nakłonić ofiarę do skopiowania specjalnie spreparowanego adresu URL i wykonania nieoczekiwanego kodu w systemie.

Numer CVE	CVE-2025-8037
Krytyczność	1.2/10
CVSS	AV:N/AC:L/AT:N/PR:N/UI:A/VC:L/VI:N/VA:N/SC:L/SI:N/SA:N/E:U/U:Green
Opis	Luka wynika ze sposobu, w jaki Firefox obsługuje bezimienne pliki cookie ze znakiem równości w wartości. Taki plik cookie przesłaniałby inne pliki cookie, choćby jeżeli bezimienny plik cookie zostałby ustawiony przez HTTP, a przesłaniany plik cookie zawierałby atrybut Secure.

Numer CVE	CVE-2025-8036
Krytyczność	1.2/10
CVSS	AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:L/VA:N/SC:N/SI:L/SA:N/E:U/U:Green
Opis	Luka występuje, ponieważ Firefox buforuje odpowiedzi CORS w trybie preflight po zmianie adresu IP. Zdalny atakujący może obejść mechanizm CORS, stosując ponowne wiązanie DNS.

Numer CVE	CVE-2025-8029
Krytyczność	1.2/10
CVSS	AV:N/AC:L/AT:N/PR:N/UI:A/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N/E:U/U:Green
Opis	Luka występuje, ponieważ Firefox wykonuje adresy URL JavaScript, gdy są one używane w obiektach i znacznikach embed. Zdalny atakujący może nakłonić ofiarę do odwiedzenia specjalnie spreparowanej witryny i wykonania dowolnego kodu za pośrednictwem obiektów lub znaczników embed.

Numer CVE	CVE-2025-8028
Krytyczność	4.8/10
CVSS	AV:N/AC:L/AT:P/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:U/U:Amber
Opis	Luka występuje, ponieważ instrukcja br_table protokołu WASM z dużą liczbą wpisów może spowodować, iż etykieta będzie zbyt daleko od instrukcji, co doprowadzi do jej obcięcia i nieprawidłowego obliczenia adresu rozgałęzienia. Zdalny atakujący może wykonać dowolny kod w systemie docelowym.

Numer CVE	CVE-2025-8041
Krytyczność	1.2/10
CVSS	AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N/E:U/U:Green
Opis	Luka wynika z nieprawidłowego skrócenia adresu URL. Zdalny atakujący może podrobić pasek adresu.

Numer CVE	CVE-2025-8042
Krytyczność	1.2/10
CVSS	AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N/E:U/U:Green
Opis	Luka występuje, ponieważ aplikacja umożliwia piaskownicy iframe’a bez atrybutu allow-downloads rozpoczęcie pobierania.

Numer CVE	CVE-2025-8043
Krytyczność	1.2/10
CVSS	AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N/E:U/U:Green
Opis	Luka wynika z nieprawidłowego skracania adresów URL. Zdalny atakujący może przeprowadzić atak typu spoofing.

Numer CVE	CVE-2025-8044
Krytyczność	6.1/10
CVSS	AV:N/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:U/U:Amber
Opis	Luka wynika z błędu granicznego. Zdalny atakujący może nakłonić ofiarę do odwiedzenia specjalnie spreparowanej witryny, spowodować uszkodzenie pamięci i wykonać dowolny kod w systemie docelowym.

Aktualizacja	TAK
Link	https://www.mozilla.org/en-US/security/advisories/mfsa2025-57/ https://www.mozilla.org/en-US/security/advisories/mfsa2025-58/ https://www.mozilla.org/en-US/security/advisories/mfsa2025-59/ https://www.mozilla.org/en-US/security/advisories/mfsa2025-56/ https://bugzilla.mozilla.org/show_bug.cgi?id=1971581