CVE-2014-8638

Опубликовано: 14 янв. 2015

Источник: nvd

CVSS2: 6.8

EPSS Низкий

Уязвимость обхода проверки CORS и проведения CSRF-атак в Mozilla Firefox, Thunderbird и SeaMonkey из-за некорректной реализации navigator.sendBeacon

Описание

Некорректная реализация функции navigator.sendBeacon в Mozilla Firefox, Thunderbird и SeaMonkey приводит к отсутствию заголовка CORS Origin. Это позволяет злоумышленникам обойти проверки доступа CORS и проводить CSRF-атаки через специально созданные веб-сайты.

Затронутые версии ПО

Mozilla Firefox до версии 35.0
Mozilla Firefox ESR 31.x до версии 31.4
Mozilla Thunderbird до версии 31.4
SeaMonkey до версии 2.32

Тип уязвимости

Обход проверки доступа CORS
Межсайтовая подделка запроса (CSRF)

Ссылки

Уязвимые конфигурации

Конфигурация 1

Одно из

cpe:2.3:a:mozilla:firefox:31.0:*:*:*:*:*:*:*

cpe:2.3:a:mozilla:firefox:31.1.0:*:*:*:*:*:*:*

cpe:2.3:a:mozilla:firefox:31.1.1:*:*:*:*:*:*:*

cpe:2.3:a:mozilla:firefox:31.3.0:*:*:*:*:*:*:*

cpe:2.3:a:mozilla:firefox_esr:31.2:*:*:*:*:*:*:*

Конфигурация 2

cpe:2.3:a:mozilla:thunderbird:*:*:*:*:*:*:*:*

Версия до 31.3.0 (включая)

Конфигурация 3

cpe:2.3:a:mozilla:firefox:*:*:*:*:*:*:*:*

Версия до 34.0.5 (включая)

Конфигурация 4

cpe:2.3:a:mozilla:seamonkey:*:*:*:*:*:*:*:*

Версия до 2.31 (включая)

EPSS

Процентиль: 40%

0.00181

Низкий

6.8 Medium

CVSS2

Дефекты

CWE-352

Связанные уязвимости

CVE-2014-8638

ubuntu

больше 10 лет назад

The navigator.sendBeacon implementation in Mozilla Firefox before 35.0, Firefox ESR 31.x before 31.4, Thunderbird before 31.4, and SeaMonkey before 2.32 omits the CORS Origin header, which allows remote attackers to bypass intended CORS access-control checks and conduct cross-site request forgery (CSRF) attacks via a crafted web site.