Уязвимость кражи кросс-доменных изображений в Mozilla Firefox и Thunderbird через нарушение политики одного происхождения
Описание
Нарушение политики одного происхождения позволяет кражу кросс-доменных изображений посредством комбинации SVG-фильтров и элемента <canvas>. Это происходит из-за ошибки в применении политики одного происхождения к кэшированному контенту изображений. В результате данное нарушение политики может привести к краже данных.
Затронутые версии ПО
- Firefox версий ниже 69
- Thunderbird версий ниже 68.1 и 60.9
- Firefox ESR версий ниже 60.9 и 68.1
Тип уязвимости
- Нарушение политики одного происхождения
- Кража данных
Ссылки
- Issue TrackingPermissions RequiredVendor Advisory
- Vendor Advisory
- Vendor Advisory
- Vendor Advisory
- Vendor Advisory
- Vendor Advisory
- Issue TrackingPermissions RequiredVendor Advisory
- Vendor Advisory
Уязвимые конфигурации
Одно из
EPSS
6.5 Medium
CVSS3
4.3 Medium
CVSS2
Дефекты
Связанные уязвимости
A same-origin policy violation occurs allowing the theft of cross-origin images through a combination of SVG filters and a <canvas> element due to an error in how same-origin policy is applied to cached image content. The resulting same-origin policy violation could allow for data theft. This vulnerability affects Firefox < 69, Thunderbird < 68.1, Thunderbird < 60.9, Firefox ESR < 60.9, and Firefox ESR < 68.1.
A same-origin policy violation occurs allowing the theft of cross-origin images through a combination of SVG filters and a <canvas> element due to an error in how same-origin policy is applied to cached image content. The resulting same-origin policy violation could allow for data theft. This vulnerability affects Firefox < 69, Thunderbird < 68.1, Thunderbird < 60.9, Firefox ESR < 60.9, and Firefox ESR < 68.1.
A same-origin policy violation occurs allowing the theft of cross-orig ...
A same-origin policy violation occurs allowing the theft of cross-origin images through a combination of SVG filters and a <canvas> element due to an error in how same-origin policy is applied to cached image content. The resulting same-origin policy violation could allow for data theft. This vulnerability affects Firefox < 69, Thunderbird < 68.1, Thunderbird < 60.9, Firefox ESR < 60.9, and Firefox ESR < 68.1.
Уязвимость веб-браузеров Firefox, Firefox ESR и почтового клиента Thunderbird, связанная с включением функциональности из ненадежной управляющей сферы, позволяющая нарушителю оказать воздействие на целостность данных
EPSS
6.5 Medium
CVSS3
4.3 Medium
CVSS2