Impatto Sistemico

Critico (83.55)

Sintesi

Rilevato lo sfruttamento attivo delle vulnerabilità 0day CVE-2025-4918 e CVE-2025-4919 che interessano i prodotti Firefox e Firefox ESR.

Tipologia

• Arbitrary Code Execution
• Security Restrictions Bypass

Descrizione e potenziali impatti

È stato recentemente rilevato lo sfruttamento delle vulnerabilità 0day CVE-2025-4918 e CVE-2025-4919 che interessano i prodotti Firefox e Firefox ESR nell’ ambito della competizione Pwn2Own di Berlino.

Tali vulnerabilità risultano essere di tipo “Arbitrary Code Execution” e “Security Restrictions Bypass”, rispettivamente con score CVSS v3.x pari a 7.5 e 8.8.

Le vulnerabilità, legate a un errore nella gestione degli oggetti JavaScript ‘Promise’ ed a una scorretta interpretazione delle dimensioni degli indici degli array, potrebbero consentire l’esecuzione di codice arbitrario qualora venga visitato un sito web opportunamente predisposto.

Prodotti e/o versioni affette

Mozilla

• Firefox, versioni precedenti alla 138.0.4
• Firefox ESR, versioni precedenti alla 128.10.1
• Firefox ESR, versioni precedenti alla 115.23.1

Azioni di mitigazione

In linea con le dichiarazioni del vendor, si raccomanda di applicare le patch seguendo le indicazioni riportate nei bollettini di sicurezza, disponibili nella sezione Riferimenti.