Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en las peticiones POST realizadas por complementos de NPAPI en Firefox ESR, Firefox y Thunderbird (CVE-2019-11712)

Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-352 Falsificación de petición en sitios cruzados (Cross-Site Request Forgery)
Fecha de publicación:
23/07/2019
Última modificación:
25/11/2025

Descripción

Las peticiones POST realizadas por complementos de NPAPI, tal y como Flash, que reciben una respuesta de redireccionamiento del estado 308 pueden pasar por alto los requerimientos de CORS. Esto puede permitir a un atacante realizar ataques de tipo Cross-Site Request Forgery (CSRF). Esta vulnerabilidad afecta a Firefox ESR anterior a versión 60.8, Firefox anterior a versión 68 y Thunderbird anterior a versión 60.8.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:mozilla:firefox:*:*:*:*:*:*:*:* 60.8.0 (excluyendo)
cpe:2.3:a:mozilla:firefox:*:*:*:*:*:*:*:* 68.0 (excluyendo)
cpe:2.3:a:mozilla:thunderbird:*:*:*:*:*:*:*:* 60.8.0 (excluyendo)


Referencias a soluciones, herramientas e información