CVE-2016-2817

Опубликовано: 30 апр. 2016

Источник: nvd

CVSS3: 5.4

CVSS2: 4.3

EPSS Низкий

Уязвимость универсального межсайтового скриптинга (UXSS) в Mozilla Firefox из-за некорректного ограничения наследования прав доступа в WebExtension

Описание

Функция песочницы WebExtension в файле browser/components/extensions/ext-tabs.js в Mozilla Firefox до версии 46.0 некорректно ограничивает наследование прав доступа при вызовах API chrome.tabs.create и chrome.tabs.update. Это позволяет злоумышленникам проводить атаки универсального межсайтового скриптинга (UXSS) с помощью специально созданного расширения, которое обращается к URL-адресу (1) javascript: или (2) data:.

Затронутые версии ПО

Mozilla Firefox до версии 46.0

Тип уязвимости

Универсальный межсайтовый скриптинг (UXSS)

Ссылки

Уязвимые конфигурации

Конфигурация 1

cpe:2.3:a:mozilla:firefox:*:*:*:*:*:*:*:*

Версия до 45.0.2 (включая)

EPSS

Процентиль: 60%

0.00399

Низкий

5.4 Medium

CVSS3

4.3 Medium

CVSS2

Дефекты

CWE-264

Связанные уязвимости

CVE-2016-2817

CVSS3: 5.4

ubuntu

почти 10 лет назад

The WebExtension sandbox feature in browser/components/extensions/ext-tabs.js in Mozilla Firefox before 46.0 does not properly restrict principal inheritance during chrome.tabs.create and chrome.tabs.update API calls, which allows remote attackers to conduct Universal XSS (UXSS) attacks via a crafted extension that accesses a (1) javascript: or (2) data: URL.

CVE-2016-2817

redhat

почти 10 лет назад

CVE-2016-2817

CVSS3: 5.4

debian

почти 10 лет назад

The WebExtension sandbox feature in browser/components/extensions/ext- ...

GHSA-px89-65ch-24x4

CVSS3: 5.4

github

больше 3 лет назад

BDU:2016-01148

fstec

почти 10 лет назад

Уязвимость браузера Firefox, позволяющая нарушителю проводить UXSS-атаки

EPSS

Процентиль: 60%

0.00399

Низкий

5.4 Medium

CVSS3

4.3 Medium

CVSS2

Дефекты

CWE-264