Уязвимость выполнения межсайтового скриптинга (UXSS) в изолированной среде процессов Firefox через манипуляцию контентом
Описание
Скомпрометированный процесс, работающий в изолированной среде, способен выполнить атаку межсайтового скриптинга (UXSS) на контент любого сайта, который может быть загружен в тот же процесс. Из-за тесной интеграции addons.mozilla.org и accounts.firefox.com с продуктом Firefox, злоумышленник может использовать манипуляцию этими сайтами внутри браузера для изменения конфигурации Firefox пользователя. Эти два сайта теперь изолируются в отдельный процесс и не могут загружаться в стандартный процесс контента.
Затронутые версии ПО
- Firefox версии ниже 69
Тип уязвимости
Межсайтовый скриптинг (UXSS)
Ссылки
- Issue TrackingPermissions RequiredVendor Advisory
- Vendor Advisory
- Issue TrackingPermissions RequiredVendor Advisory
- Vendor Advisory
Уязвимые конфигурации
EPSS
6.1 Medium
CVSS3
4.3 Medium
CVSS2
Дефекты
Связанные уязвимости
A compromised sandboxed content process can perform a Universal Cross-site Scripting (UXSS) attack on content from any site it can cause to be loaded in the same process. Because addons.mozilla.org and accounts.firefox.com have close ties to the Firefox product, malicious manipulation of these sites within the browser can potentially be used to modify a user's Firefox configuration. These two sites will now be isolated into their own process and not allowed to be loaded in a standard content process. This vulnerability affects Firefox < 69.
A compromised sandboxed content process can perform a Universal Cross-site Scripting (UXSS) attack on content from any site it can cause to be loaded in the same process. Because addons.mozilla.org and accounts.firefox.com have close ties to the Firefox product, malicious manipulation of these sites within the browser can potentially be used to modify a user's Firefox configuration. These two sites will now be isolated into their own process and not allowed to be loaded in a standard content process. This vulnerability affects Firefox < 69.
A compromised sandboxed content process can perform a Universal Cross- ...
A compromised sandboxed content process can perform a Universal Cross-site Scripting (UXSS) attack on content from any site it can cause to be loaded in the same process. Because addons.mozilla.org and accounts.firefox.com have close ties to the Firefox product, malicious manipulation of these sites within the browser can potentially be used to modify a user's Firefox configuration. These two sites will now be isolated into their own process and not allowed to be loaded in a standard content process. This vulnerability affects Firefox < 69.
Уязвимость браузера Firefox, связанная с непринятием мер по защите структуры веб-страницы, позволяющая нарушителю нарушить целостность данных
EPSS
6.1 Medium
CVSS3
4.3 Medium
CVSS2