Уязвимость выполнения JavaScript кода из файла с закладками в Mozilla Firefox через внедрение пользовательских тегов
Описание
JavaScript код может быть внедрён в файл с экспортированными закладками путём добавления кода в пользовательские теги сохранённых закладок. Если сформированный HTML файл впоследствии открыт в браузере, то этот JavaScript код будет выполнен. Это может быть использовано в атаках социальной инженерии и атаках self-XSS, если пользователей убедят добавить вредоносные теги в закладки, экспортировать их и затем открыть полученный файл.
Затронутые версии ПО
- Firefox версии ниже 57
Тип уязвимости
- Внедрение кода
- Межсайтовый скриптинг (XSS)
Ссылки
- Third Party AdvisoryVDB Entry
- Third Party AdvisoryVDB Entry
- Issue TrackingPermissions Required
- Vendor Advisory
- Third Party AdvisoryVDB Entry
- Third Party AdvisoryVDB Entry
- Issue TrackingPermissions Required
- Vendor Advisory
Уязвимые конфигурации
EPSS
6.1 Medium
CVSS3
4.3 Medium
CVSS2
Дефекты
Связанные уязвимости
JavaScript can be injected into an exported bookmarks file by placing JavaScript code into user-supplied tags in saved bookmarks. If the resulting exported HTML file is later opened in a browser this JavaScript will be executed. This could be used in social engineering and self-cross-site-scripting (self-XSS) attacks if users were convinced to add malicious tags to bookmarks, export them, and then open the resulting file. This vulnerability affects Firefox < 57.
JavaScript can be injected into an exported bookmarks file by placing ...
JavaScript can be injected into an exported bookmarks file by placing JavaScript code into user-supplied tags in saved bookmarks. If the resulting exported HTML file is later opened in a browser this JavaScript will be executed. This could be used in social engineering and self-cross-site-scripting (self-XSS) attacks if users were convinced to add malicious tags to bookmarks, export them, and then open the resulting file. This vulnerability affects Firefox < 57.
Уязвимость браузера Mozilla Firefox, связанная с недостатками используемых мер по защите структуры веб-страницы, позволяющая нарушителю проводить межсайтовые сценарные атаки
EPSS
6.1 Medium
CVSS3
4.3 Medium
CVSS2