Уязвимость обхода ограничений песочницы через подделку заголовка "X-Frame-Options" в Firefox, Firefox ESR и Thunderbird
Описание
Злоумышленник мог обмануть браузер, используя заголовок X-Frame-Options, чтобы внедрить в песочницу iframe кнопку, которая при нажатии пользователем позволяла обойти ограничения и открыть новое окно.
Затронутые версии ПО
- Firefox < 127
- Firefox ESR < 115.12
- Thunderbird < 115.12
Тип уязвимости
Обход ограничений песочницы
Ссылки
- Issue TrackingPermissions Required
- Mailing List
- Mailing List
- Vendor Advisory
- Vendor Advisory
- Vendor Advisory
- Issue TrackingPermissions Required
- Mailing List
- Mailing List
- Vendor Advisory
- Vendor Advisory
- Vendor Advisory
Уязвимые конфигурации
Одно из
EPSS
4.7 Medium
CVSS3
Дефекты
Связанные уязвимости
By tricking the browser with a `X-Frame-Options` header, a sandboxed iframe could have presented a button that, if clicked by a user, would bypass restrictions to open a new window. This vulnerability affects Firefox < 127, Firefox ESR < 115.12, and Thunderbird < 115.12.
By tricking the browser with a `X-Frame-Options` header, a sandboxed iframe could have presented a button that, if clicked by a user, would bypass restrictions to open a new window. This vulnerability affects Firefox < 127, Firefox ESR < 115.12, and Thunderbird < 115.12.
By tricking the browser with a `X-Frame-Options` header, a sandboxed i ...
By tricking the browser with a `X-Frame-Options` header, a sandboxed iframe could have presented a button that, if clicked by a user, would bypass restrictions to open a new window. This vulnerability affects Firefox < 127 and Firefox ESR < 115.12.
Уязвимость браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird, связанная с ошибками в настройках безопасности, позволяющая нарушителю обойти ограничения безопасности и провести атаку типа clickjacking («захват клика»)
EPSS
4.7 Medium
CVSS3