Уязвимость обхода политики одного происхождения в Mozilla Firefox через вредоносное расширение и установку кросс-доменной поисковой системы
Описание
Вредоносное расширение с разрешением search способно установить новую поисковую систему, иконка которой ссылается на кросс-доменный URL. Ответ на кросс-доменный запрос становится доступен для чтения расширением, что приводит к обходу политики одного происхождения. Такое расширение не должно иметь кросс-доменные разрешения. Кросс-доменный запрос выполняется без использования cookies, поэтому раскрытая информация ограничивается ресурсами локальной сети или ресурсами, использующими аутентификацию на основе IP.
Затронутые версии ПО
- Firefox версии ниже 87
Тип уязвимости
Обход политики одного происхождения
Ссылки
- Issue TrackingPermissions RequiredVendor Advisory
- Vendor Advisory
- Issue TrackingPermissions RequiredVendor Advisory
- Vendor Advisory
Уязвимые конфигурации
EPSS
6.5 Medium
CVSS3
4.3 Medium
CVSS2
Дефекты
Связанные уязвимости
A malicious extension with the 'search' permission could have installed a new search engine whose favicon referenced a cross-origin URL. The response to this cross-origin request could have been read by the extension, allowing a same-origin policy bypass by the extension, which should not have cross-origin permissions. This cross-origin request was made without cookies, so the sensitive information disclosed by the violation was limited to local-network resources or resources that perform IP-based authentication. This vulnerability affects Firefox < 87.
A malicious extension with the 'search' permission could have installe ...
A malicious extension with the 'search' permission could have installed a new search engine whose favicon referenced a cross-origin URL. The response to this cross-origin request could have been read by the extension, allowing a same-origin policy bypass by the extension, which should not have cross-origin permissions. This cross-origin request was made without cookies, so the sensitive information disclosed by the violation was limited to local-network resources or resources that perform IP-based authentication. This vulnerability affects Firefox < 87.
EPSS
6.5 Medium
CVSS3
4.3 Medium
CVSS2