CVE-2026-14241: Falhas de segurança de memória no Mozilla Firefox com escrita fora dos limites (CWE-787)

Visão geral

Este registro descreve várias falhas de segurança de memória no Mozilla Firefox 152.0.3. O NVD classifica a fraqueza como CWE-787 (Escrita fora dos limites). Segundo a descrição, algumas dessas falhas apresentaram indícios de corrupção de memória, e o CNA presume que, com esforço suficiente, algumas possam ser exploradas para executar código arbitrário. A descrição informa que o problema foi corrigido no Firefox 152.0.4.

Impacto

A descrição afirma que, com esforço suficiente, algumas dessas falhas poderiam ser usadas para executar código arbitrário. Trata-se de uma presunção do CNA, e não de um resultado demonstrado.
O NVD informa pontuação base CVSS 3.1 de 9,8 (crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que indica vetor de ataque pela rede, baixa complexidade, nenhum privilégio e nenhuma interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade.
Uma segunda pontuação de 7,5 (CVSS 3.1) aparece no registro, atribuída por um provedor cuja identidade não é informada.

Produtos e versões afetados

Mozilla Firefox na versão 152.0.3 consta como afetado.
A descrição informa que a correção está no Firefox 152.0.4. O registro não lista outras versões afetadas nem uma lista de correções, portanto a faixa exata de builds vulneráveis é desconhecida além do que foi informado.

Status de exploração

O catálogo Known Exploited Vulnerabilities da CISA não lista este CVE no registro. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas. A probabilidade EPSS é de 0,0043 (percentil 0,35462), uma estimativa de probabilidade de exploração e não uma evidência de exploração.

Correção e mitigação

Atualize o Firefox para a versão 152.0.4 ou superior em todas as instalações desktop e gerenciadas, conforme informado no registro.
Consulte o aviso de segurança da Mozilla indicado abaixo para a lista oficial de problemas corrigidos do fornecedor e eventuais orientações específicas.
Quando as atualizações forem distribuídas de forma centralizada, verifique se a versão instalada é 152.0.4 ou superior e se as builds antigas foram removidas ou substituídas.

Orientações de detecção

Faça o inventário das instalações do Firefox e registre suas versões, com atenção a sistemas que ainda executem 152.0.3 ou anteriores.
Verifique ferramentas de gestão de software e inventários de endpoints quanto a divergências de versão após a janela de atualização.
Monitore falhas inesperadas ou instabilidade do navegador, que podem acompanhar defeitos de corrupção de memória, reconhecendo que esses sintomas não são específicos deste CVE.

Limitações das informações disponíveis

O registro não inclui lista de correções, identificador de correção do fornecedor além da descrição, nem detalhes das falhas individuais.
A identidade do segundo provedor de CVSS não é informada.
O registro não confirma se o caminho de exploração presumido foi demonstrado. Trate a afirmação de explorabilidade como uma avaliação do CNA.
As páginas de origem listadas no registro foram consultadas apenas para metadados; o link do Bugzilla está marcado como quebrado e não foi utilizado como base.

Perguntas frequentes

Qual versão do Firefox é afetada por este CVE?

O registro lista o Mozilla Firefox 152.0.3 como afetado. A descrição informa que o problema foi corrigido no Firefox 152.0.4.

Há confirmação de exploração ativa desta vulnerabilidade?

O registro mostra que este CVE não está no catálogo KEV da CISA, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas.

Qual é a gravidade deste CVE?

O NVD atribui pontuação base CVSS 3.1 de 9,8, classificada como crítica. Uma segunda pontuação de 7,5, de um provedor não identificado, também aparece no registro.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.