SecBoard
Zurück zur CVE-Übersicht

CVE-2022-26485

HIGH(8.8)KEV — Aktiv ausgenutzt

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Risk Signal Score56/100 — HOCH
  • CVSS 8.8 — Hoch
  • Im CISA KEV-Katalog (aktiv ausgenutzt)

CISA KEV

Bestätigt ausgenutzt

EPSS-Score

14.3%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

8.8

Technische Schwere

SecBoard-Einordnung

CVE-2022-26485 betrifft Mozilla Firefox, Firefox ESR, Firefox for Android, Firefox Focus und Thunderbird. Es handelt sich um eine Use-after-free-Schwachstelle, die durch das Entfernen eines XSLT-Parameters während der Verarbeitung ausgelöst werden kann. Eine erfolgreiche Ausnutzung kann zu beliebiger Codeausführung führen.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

Removing an XSLT parameter during processing could have lead to an exploitable use-after-free. We have had reports of attacks in the wild abusing this flaw. This vulnerability affects Firefox < 97.0.2, Firefox ESR < 91.6.1, Firefox for Android < 97.3.0, Thunderbird < 91.6.2, and Focus < 97.3.0.

Betroffene Produkte

  • cpe:2.3:a:mozilla:firefox:*:*:*:*:esr:*:*:*
  • cpe:2.3:a:mozilla:firefox:*:*:*:*:-:*:*:*
  • cpe:2.3:a:mozilla:firefox_focus:*:*:*:*:*:*:*:*
  • cpe:2.3:a:mozilla:firefox_mobile:*:*:*:*:*:android:*:*
  • cpe:2.3:a:mozilla:thunderbird:*:*:*:*:*:*:*:*

Referenzen