CVE-2015-4498

Опубликовано: 29 авг. 2015

Источник: nvd

CVSS2: 7.5

EPSS Низкий

Уязвимость обхода требования подтверждения пользователя при установке дополнений в Mozilla Firefox и Firefox ESR

Описание

Функция установки дополнений в Mozilla Firefox до версии 40.0.3 и Firefox ESR до версии 38.2.1 позволяет злоумышленникам обойти требование подтверждения пользователя. Это достигается путем создания специально подготовленного data: URL и инициирования навигации к произвольным http: или https: URL на определенном этапе процесса установки.

Затронутые версии ПО

Mozilla Firefox до версии 40.0.3
Firefox ESR 38.x до версии 38.2.1

Тип уязвимости

Удалённое выполнение кода

Ссылки

Уязвимые конфигурации

Конфигурация 1

Одно из

cpe:2.3:a:mozilla:firefox:*:*:*:*:*:*:*:*

Версия до 40.0.2 (включая)

cpe:2.3:a:mozilla:firefox:38.0:*:*:*:*:*:*:*

cpe:2.3:a:mozilla:firefox:38.0.1:*:*:*:*:*:*:*

cpe:2.3:a:mozilla:firefox:38.0.5:*:*:*:*:*:*:*

cpe:2.3:a:mozilla:firefox:38.1.0:*:*:*:*:*:*:*

cpe:2.3:a:mozilla:firefox:38.2.0:*:*:*:*:*:*:*

EPSS

Процентиль: 68%

0.00576

Низкий

7.5 High

CVSS2

Дефекты

CWE-254

Связанные уязвимости

CVE-2015-4498

ubuntu

почти 10 лет назад

The add-on installation feature in Mozilla Firefox before 40.0.3 and Firefox ESR 38.x before 38.2.1 allows remote attackers to bypass an intended user-confirmation requirement by constructing a crafted data: URL and triggering navigation to an arbitrary http: or https: URL at a certain early point in the installation process.