Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

nvd логотип

CVE-2012-4205

Опубликовано: 21 нояб. 2012
Источник: nvd
CVSS2: 6.8
EPSS Низкий

Уязвимость проведения CSRF атак и получения конфиденциальной информации в Mozilla Firefox, Thunderbird и SeaMonkey через неправильную обработку объектов XMLHttpRequest в песочницах

Описание

в Mozilla Firefox, Thunderbird и SeaMonkey обнаружена уязвимость, связанная с некорректной обработкой объектов XMLHttpRequest, создаваемых в песочницах. Вместо использования контекста песочницы этим объектам назначается контекст системного администратора. Это позволяет злоумышленникам проводить межсайтовые запросы от имени пользователя (CSRF атаки) или получать конфиденциальную информацию.

Затронутые версии ПО

  • Mozilla Firefox до версии 17.0
  • Thunderbird до версии 17.0
  • SeaMonkey до версии 2.14

Тип уязвимости

  • Межсайтовая подделка запроса (CSRF)
  • Утечка конфиденциальной информации

Ссылки

Уязвимые конфигурации

Конфигурация 1

Одно из

cpe:2.3:a:mozilla:firefox:*:*:*:*:*:*:*:*
Версия до 17.0 (исключая)
cpe:2.3:a:mozilla:seamonkey:*:*:*:*:*:*:*:*
Версия до 2.14 (исключая)
cpe:2.3:a:mozilla:thunderbird:*:*:*:*:*:*:*:*
Версия до 17.0 (исключая)
Конфигурация 2

Одно из

cpe:2.3:o:canonical:ubuntu_linux:10.04:*:*:*:*:*:*:*
cpe:2.3:o:canonical:ubuntu_linux:11.10:*:*:*:*:*:*:*
cpe:2.3:o:canonical:ubuntu_linux:12.04:*:*:*:esm:*:*:*
cpe:2.3:o:canonical:ubuntu_linux:12.10:*:*:*:*:*:*:*
Конфигурация 3

Одно из

cpe:2.3:o:opensuse:opensuse:11.4:*:*:*:*:*:*:*
cpe:2.3:o:opensuse:opensuse:12.1:*:*:*:*:*:*:*
cpe:2.3:o:opensuse:opensuse:12.2:*:*:*:*:*:*:*
cpe:2.3:o:suse:linux_enterprise_desktop:10:sp4:*:*:-:*:*:*
cpe:2.3:o:suse:linux_enterprise_desktop:11:sp2:*:*:*:*:*:*
cpe:2.3:o:suse:linux_enterprise_server:10:sp4:*:*:-:*:*:*
cpe:2.3:o:suse:linux_enterprise_server:11:sp2:*:*:*:-:*:*
cpe:2.3:o:suse:linux_enterprise_server:11:sp2:*:*:*:vmware:*:*
cpe:2.3:o:suse:linux_enterprise_software_development_kit:11:sp2:*:*:*:*:*:*
cpe:2.3:o:suse:linux_enterprise_software_development_kit:11:sp3:*:*:*:*:*:*

EPSS

Процентиль: 74%
0.00795
Низкий

6.8 Medium

CVSS2

Дефекты

CWE-352

Связанные уязвимости

ubuntu логотип

CVE-2012-4205

ubuntu
около 13 лет назад

Mozilla Firefox before 17.0, Thunderbird before 17.0, and SeaMonkey before 2.14 assign the system principal, rather than the sandbox principal, to XMLHttpRequest objects created in sandboxes, which allows remote attackers to conduct cross-site request forgery (CSRF) attacks or obtain sensitive information by leveraging a sandboxed add-on.

redhat логотип

CVE-2012-4205

redhat
около 13 лет назад

Mozilla Firefox before 17.0, Thunderbird before 17.0, and SeaMonkey before 2.14 assign the system principal, rather than the sandbox principal, to XMLHttpRequest objects created in sandboxes, which allows remote attackers to conduct cross-site request forgery (CSRF) attacks or obtain sensitive information by leveraging a sandboxed add-on.

debian логотип

CVE-2012-4205

debian
около 13 лет назад

Mozilla Firefox before 17.0, Thunderbird before 17.0, and SeaMonkey be ...

github логотип

GHSA-mj3h-hrp4-mfr6

github
больше 3 лет назад

Mozilla Firefox before 17.0, Thunderbird before 17.0, and SeaMonkey before 2.14 assign the system principal, rather than the sandbox principal, to XMLHttpRequest objects created in sandboxes, which allows remote attackers to conduct cross-site request forgery (CSRF) attacks or obtain sensitive information by leveraging a sandboxed add-on.

EPSS

Процентиль: 74%
0.00795
Низкий

6.8 Medium

CVSS2

Дефекты

CWE-352