Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en document.domain en protecciones de origen cruzado en Firefox ESR, Firefox y Thunderbird (CVE-2019-11711)

Gravedad CVSS v3.1:
ALTA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
23/07/2019
Última modificación:
01/03/2023

Descripción

Cuando se reutiliza una ventana interior, no se considera el uso de document.domain para las protecciones de origen cruzado. Si las páginas en diferentes subdominios alguna vez usan cooperativamente document.domain, entonces cualquiera de las páginas puede abusar de esto para inyectar el script en páginas arbitrarias en el otro subdominio, incluso aquellas que no usaron document.domain para mitigar la seguridad de su origen. Esta vulnerabilidad afecta a Firefox ESR anterior a versión 60.8, Firefox anterior a versión 68 y Thunderbird anterior a versión 60.8.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:mozilla:firefox:*:*:*:*:*:*:*:* 68.0 (excluyendo)
cpe:2.3:a:mozilla:firefox_esr:*:*:*:*:*:*:*:* 60.8.0 (excluyendo)
cpe:2.3:a:mozilla:thunderbird:*:*:*:*:*:*:*:* 60.8.0 (excluyendo)
cpe:2.3:o:debian:debian_linux:8.0:*:*:*:*:*:*:*