Mozilla Security Advisory 2026-61: Firefox/Thunderbird Patch for Multiple CVEs

漏洞概述 Mozilla Foundation 发布了安全公告 2026-61，修复了 Thunderbird 140.12 中的多个安全漏洞。这些漏洞包括权限提升、内存安全错误、使用后释放、沙箱逃逸、JIT 误编译、同源策略绕过、信息泄露、拒绝服务等。 影响范围 Thunderbird 140.12 Firefox ESR 140.12 Firefox 152 Thunderbird ESR 140.12 Thunderbird 152 修复方案 所有列出的漏洞已在上述版本中修复。用户应升级到最新版本以解决这些安全问题。 漏洞详情 CVE-2026-12289: 权限提升在 Graphics: WebRender 组件 报告者: choeseyeong 影响: 高 CVE-2026-12290: 内存安全错误在 Thunderbird ESR 140.12 报告者: jayjayjazz 影响: 高 CVE-2026-12291: 使用后释放在 Networking: HTTP 组件 报告者: Zijie Zhao 影响: 高 CVE-2026-12292: Web Audio 组件中的边界条件错误 报告者: Zijie Zhao 影响: 高 CVE-2026-12294: DOM: Workers 组件中的沙箱逃逸 报告者: Quy Pham 影响: 高 CVE-2026-12295: DOM: Navigation 组件中的沙箱逃逸 报告者: Yaqoub Aldurayhim 影响: 高 CVE-2026-12298: 内存安全错误在 Thunderbird ESR 140.12 报告者: Haruka Yamazaki 影响: 高 CVE-2026-12296: Security: Process Sandboxing 组件中的沙箱逃逸 报告者: Yaqoub Aldurayhim 影响: 高 CVE-2026-12297: Networking 组件中因边界条件错误导致的沙箱逃逸 报告者: ZX 影响: 高 CVE-2026-12299: DOM: Core & HTML 组件中的 JIT 误编译 报告者: Hyeonjun Ahn 影响: 高 CVE-2026-12329: 内存安全错误在 Thunderbird ESR 140.12 报告者: Michael Froman 影响: 高 CVE-2026-12302: DOM: Security 组件中的缓解措施绕过 报告者: lebronli 影响: 中等 CVE-2026-12304: Networking: Cookies 组件中的同源策略绕过 报告者: Yaqoub Aldurayhim 影响: 中等 CVE-2026-12305: 内存安全错误在 Thunderbird ESR 140.12 报告者: Zijie Zhao 影响: 中等 CVE-2026-12306: 内存安全错误在 Thunderbird ESR 140.12 报告者: Mihalis Haatainen 影响: 中等 CVE-2026-12307: 内存安全错误在 Thunderbird ESR 140.12 报告者: Atsushi Sada 影响: 中等 CVE-2026-12308: 内存安全错误在 Thunderbird ESR 140.12 报告者: Mihalis Haatainen 影响: 中等 CVE-2026-12309: 内存安全错误在 Thunderbird ESR 140.12 报告者: Yaqoub Aldurayhim 影响: 中等 CVE-2026-12310: 内存安全错误在 Thunderbird ESR 140.12 报告者: Carl Pearson 影响: 中等 CVE-2026-12311: Security: Process Sandboxing 组件中的信息泄露和沙箱逃逸 报告者: Yaqoub Aldurayhim 影响: 中等 CVE-2026-12312: 内存安全错误在 Thunderbird ESR 140.12 报告者: Rintaro Kawasugi 影响: 中等 CVE-2026-12313: Security: Process Sandboxing 组件中的信息泄露和沙箱逃逸 报告者: evyatar 影响: 中等 CVE-2026-12314: 内存安全错误在 Thunderbird ESR 140.12 报告者: satyamasd 影响: 中等 CVE-2026-12315: DOM: Security 组件中的缓解措施绕过 报告者: Nguyen Minh 影响: 中等 CVE-2026-12330: Internationalization 组件中的边界条件错误 报告者: Mozilla Fuzzing Team 影响: 中等 CVE-2026-12324: Graphics: CanvasWebGL 组件中的边界条件错误 报告者: Mihalis Haatainen 影响: 低 CVE-2026-12325: Graphics: ImageLib 组件中的拒绝服务 报告者: SecurIn 影响: 低 CVE-2026-12327: Firefox ESR 140.12, Thunderbird ESR 140.12, Firefox 152 和 Thunderbird 152 中的内存安全错误 报告者: Christian Holler, Jens Stutte, Nika Layzell, Randell Jesup, Tom Schuster 和 Mozilla Fuzzing Team 影响: 中等 CVE-2026-12328: Firefox ESR 115.37, Firefox ESR 140.12, Thunderbird ESR 140.12, Firefox 152 和 Thunderbird 152 中的内存安全错误 报告者: Andrew McCreight, Randell Jesup, Tom Ritter 和 Mozilla Fuzzing Team 影响: 高 备注 这些漏洞不能在 Thunderbird 产品中通过电子邮件利用，因为邮件阅读时脚本被禁用，但在浏览器或浏览器类似环境中可能存在风险。 代码块 页面中未包含 POC 代码或利用代码。

目標達成 すべての支援者に感謝 — 100%達成しました！

Mozilla Security Advisory 2026-61: Firefox/Thunderbird Patch for Multiple CVEs

目標達成すべての支援者に感謝 — 100%達成しました！