CVSS: 7.8EPSS: 0%CPEs: 1EXPL: 1CVE-2019-11696
https://notcve.org/view.php?id=CVE-2019-11696
Files with the .JNLP extension used for "Java web start" applications are not treated as executable content for download prompts even though they can be executed if Java is installed on the local system. This could allow users to mistakenly launch an executable binary locally. This vulnerability affects Firefox < 67. Los archivos con la extensión .JNLP utilizada para las aplicaciones "Java web start" no se tratan como contenido ejecutable para las solicitudes de descarga, aunque se pueden ejecutar si Java está instalado en el sistema local. Esto podría permitir a los usuarios lanzar de forma local un binario ejecutable. • https://bugzilla.mozilla.org/show_bug.cgi?id=1392955 https://www.mozilla.org/security/advisories/mfsa2019-13 • CWE-20: Improper Input Validation •
CVSS: 6.1EPSS: 0%CPEs: 1EXPL: 0CVE-2019-11701
https://notcve.org/view.php?id=CVE-2019-11701
The default webcal: protocol handler will load a web site vulnerable to cross-site scripting (XSS) attacks. This default was left in place as a legacy feature and has now been removed. *Note: this issue only affects users with an account on the vulnerable service. Other users are unaffected.*. This vulnerability affects Firefox < 67. • https://bugzilla.mozilla.org/show_bug.cgi?id=1518627 https://www.mozilla.org/security/advisories/mfsa2019-13 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 8.1EPSS: 0%CPEs: 1EXPL: 0CVE-2019-9821
https://notcve.org/view.php?id=CVE-2019-9821
A use-after-free vulnerability can occur in AssertWorkerThread due to a race condition with shared workers. This results in a potentially exploitable crash. This vulnerability affects Firefox < 67. Puede ocurrir una vulnerabilidad de uso de la memoria previamente liberada en AssertWorkerThread debido a una condición de carrera con trabajadores compartidos. Esto resulta en un bloqueo potencialmente explotable. • https://bugzilla.mozilla.org/show_bug.cgi?id=1539125 https://www.mozilla.org/security/advisories/mfsa2019-13 • CWE-362: Concurrent Execution using Shared Resource with Improper Synchronization ('Race Condition') CWE-416: Use After Free •
CVSS: 6.1EPSS: 0%CPEs: 3EXPL: 0CVE-2019-11698 – Mozilla: Theft of user history data through drag and drop of hyperlinks to and from bookmarks
https://notcve.org/view.php?id=CVE-2019-11698
If a crafted hyperlink is dragged and dropped to the bookmark bar or sidebar and the resulting bookmark is subsequently dragged and dropped into the web content area, an arbitrary query of a user's browser history can be run and transmitted to the content page via drop event data. This allows for the theft of browser history by a malicious site. This vulnerability affects Thunderbird < 60.7, Firefox < 67, and Firefox ESR < 60.7. Si un hipervínculo especialmente diseñado se arrastra y suelta en la barra de marcadores o en la barra lateral y el marcador resultante se arrastra y suelta posteriormente en el área de contenido web, se puede ejecutar una consulta arbitraria del historial del navegador de un usuario y transmitirla a la página de contenido a través de los datos del evento. . Esto permite el robo del historial del navegador por un sitio malicioso. • https://bugzilla.mozilla.org/show_bug.cgi?id=1543191 https://www.mozilla.org/security/advisories/mfsa2019-13 https://www.mozilla.org/security/advisories/mfsa2019-14 https://www.mozilla.org/security/advisories/mfsa2019-15 https://access.redhat.com/security/cve/CVE-2019-11698 https://bugzilla.redhat.com/show_bug.cgi?id=1712621 • CWE-20: Improper Input Validation CWE-829: Inclusion of Functionality from Untrusted Control Sphere •
CVSS: 4.3EPSS: 0%CPEs: 1EXPL: 1CVE-2019-11695
https://notcve.org/view.php?id=CVE-2019-11695
A custom cursor defined by scripting on a site can position itself over the addressbar to spoof the actual cursor when it should not be allowed outside of the primary web content area. This could be used by a malicious site to trick users into clicking on permission prompts, doorhanger notifications, or other buttons inadvertently if the location is spoofed over the user interface. This vulnerability affects Firefox < 67. Un cursor personalizado definido mediante secuencias de comandos en un sitio puede posicionarse sobre la barra de direcciones para falsificar el cursor real cuando no se debe permitir fuera del área de contenido web principal. Esto podría ser utilizado por un sitio malicioso para engañar a los usuarios para que hagan clic en los avisos de permisos, notificaciones de cambio de puerta u otros botones de forma inadvertida si la ubicación está falsificada a través de la interfaz del usuario. • https://bugzilla.mozilla.org/show_bug.cgi?id=1445844 https://www.mozilla.org/security/advisories/mfsa2019-13 •