PT-2020-19245 · Mozilla+2 · Firefox+2

Leon Visscher

·

Publicado

2020-04-07

·

Atualizado

2024-12-12

·

CVE-2020-6823

CVSS v3.1

9.8

Crítica

VetorAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
Versões do Firefox anteriores à 75
Descrição
Uma extensão maliciosa poderia explorar a vulnerabilidade chamando a função browser.identity.launchWebAuthFlow, controlando o redirect uri e obtendo o código de autenticação por meio da Promise retornada, o que poderia permitir o acesso à conta do usuário no provedor de serviços.
Recomendações
Para versões anteriores à 75, atualize para a versão 75 ou posterior para resolver a vulnerabilidade. Como solução temporária, considere restringir o uso da função browser.identity.launchWebAuthFlow até que um patch seja aplicado.

Exploit

Correção

Missing Authorization

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

ALT-PU-2020-1760
ALT-PU-2020-2408
ALT-PU-2020-2933
ALT-PU-2020-3442
ALT-PU-2021-1368
ALT-PU-2021-3368
CVE-2020-6823
OPENSUSE-SU-2024:10600-1
OPENSUSE-SU-2024:14572-1
USN-4323-1

Produtos afetados

Alt Linux
Firefox
Ubuntu