Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

nvd логотип

CVE-2017-7823

Опубликовано: 11 июн. 2018
Источник: nvd
CVSS3: 5.4
CVSS2: 4.3
EPSS Низкий

Уязвимость межсайтового скриптинга (XSS) через некорректное поведение директивы "sandbox" политики безопасности контента (CSP) в Mozilla Firefox и Thunderbird

Описание

Директива "sandbox" в политике безопасности контента (CSP) некорректно создаёт уникальное происхождение для документа, ведя себя так, как если бы всегда было указано ключевое слово "allow-same-origin". Это может привести к атаке межсайтового скриптинга (XSS) с использованием небезопасного содержимого.

Затронутые версии ПО

  • Firefox версий до 56
  • Firefox ESR версий до 52.4
  • Thunderbird версий до 52.4

Тип уязвимости

Межсайтовый скриптинг (XSS)

Ссылки

Уязвимые конфигурации

Конфигурация 1

Одно из

cpe:2.3:o:redhat:enterprise_linux_desktop:6.0:*:*:*:*:*:*:*
cpe:2.3:o:redhat:enterprise_linux_desktop:7.0:*:*:*:*:*:*:*
cpe:2.3:o:redhat:enterprise_linux_server:6.0:*:*:*:*:*:*:*
cpe:2.3:o:redhat:enterprise_linux_server:7.0:*:*:*:*:*:*:*
cpe:2.3:o:redhat:enterprise_linux_server_aus:7.4:*:*:*:*:*:*:*
cpe:2.3:o:redhat:enterprise_linux_server_eus:7.4:*:*:*:*:*:*:*
cpe:2.3:o:redhat:enterprise_linux_server_eus:7.5:*:*:*:*:*:*:*
cpe:2.3:o:redhat:enterprise_linux_workstation:6.0:*:*:*:*:*:*:*
cpe:2.3:o:redhat:enterprise_linux_workstation:7.0:*:*:*:*:*:*:*
Конфигурация 2

Одно из

cpe:2.3:o:debian:debian_linux:7.0:*:*:*:*:*:*:*
cpe:2.3:o:debian:debian_linux:8.0:*:*:*:*:*:*:*
cpe:2.3:o:debian:debian_linux:9.0:*:*:*:*:*:*:*
Конфигурация 3

Одно из

cpe:2.3:a:mozilla:firefox:*:*:*:*:*:*:*:*
Версия до 56.0 (исключая)
cpe:2.3:a:mozilla:firefox_esr:*:*:*:*:*:*:*:*
Версия до 52.4.0 (исключая)
cpe:2.3:a:mozilla:thunderbird:*:*:*:*:*:*:*:*
Версия до 52.4.0 (исключая)

EPSS

Процентиль: 80%
0.01416
Низкий

5.4 Medium

CVSS3

4.3 Medium

CVSS2

Дефекты

CWE-79

Связанные уязвимости

ubuntu логотип

CVE-2017-7823

CVSS3: 5.4
ubuntu
около 7 лет назад

The content security policy (CSP) "sandbox" directive did not create a unique origin for the document, causing it to behave as if the "allow-same-origin" keyword were always specified. This could allow a Cross-Site Scripting (XSS) attack to be launched from unsafe content. This vulnerability affects Firefox < 56, Firefox ESR < 52.4, and Thunderbird < 52.4.

redhat логотип

CVE-2017-7823

CVSS3: 6.1
redhat
почти 8 лет назад

The content security policy (CSP) "sandbox" directive did not create a unique origin for the document, causing it to behave as if the "allow-same-origin" keyword were always specified. This could allow a Cross-Site Scripting (XSS) attack to be launched from unsafe content. This vulnerability affects Firefox < 56, Firefox ESR < 52.4, and Thunderbird < 52.4.

debian логотип

CVE-2017-7823

CVSS3: 5.4
debian
около 7 лет назад

The content security policy (CSP) "sandbox" directive did not create a ...

github логотип

GHSA-hhcx-w758-8p3p

CVSS3: 5.4
github
около 3 лет назад

The content security policy (CSP) "sandbox" directive did not create a unique origin for the document, causing it to behave as if the "allow-same-origin" keyword were always specified. This could allow a Cross-Site Scripting (XSS) attack to be launched from unsafe content. This vulnerability affects Firefox < 56, Firefox ESR < 52.4, and Thunderbird < 52.4.

fstec логотип

BDU:2018-00161

CVSS3: 7.5
fstec
почти 8 лет назад

Уязвимость реализации механизма CSP браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird, позволяющая нарушителю осуществлять межсайтовые сценарные атаки

EPSS

Процентиль: 80%
0.01416
Низкий

5.4 Medium

CVSS3

4.3 Medium

CVSS2

Дефекты

CWE-79