CVSS: 5.3EPSS: 0%CPEs: 1EXPL: 1CVE-2017-7815
https://notcve.org/view.php?id=CVE-2017-7815
On pages containing an iframe, the "data:" protocol can be used to create a modal dialog through Javascript that will have an arbitrary domains as the dialog's location, spoofing of the origin of the modal dialog from the user view. Note: This attack only affects installations with e10 multiprocess turned off. Installations with e10s turned on do not support the modal dialog functionality. This vulnerability affects Firefox < 56. En las páginas que contienen un iframe, se podría utilizar el protocolo "data:" para crear un diálogo modal mediante JavaScript que tendría un dominio arbitrario como la ubicación del diálogo, suplantando el origen del diálogo modal desde la vista del usuario. • http://www.securityfocus.com/bid/101057 http://www.securitytracker.com/id/1039465 https://bugzilla.mozilla.org/show_bug.cgi?id=1368981 https://www.mozilla.org/security/advisories/mfsa2017-21 • CWE-20: Improper Input Validation •
CVSS: 5.3EPSS: 0%CPEs: 1EXPL: 0CVE-2017-7822
https://notcve.org/view.php?id=CVE-2017-7822
The AES-GCM implementation in WebCrypto API accepts 0-length IV when it should require a length of 1 according to the NIST Special Publication 800-38D specification. This might allow for the authentication key to be determined in some instances. This vulnerability affects Firefox < 56. La implementación AES-GCM en WebCrypto API acepta 0-length IV cuando debería exigir una longitud de 1 de acuerdo con la especificación NIST Special Publication 800-38D. Esto podría permitir que se determine la clave de autenticación en algunas instancias. • http://www.securityfocus.com/bid/101057 http://www.securitytracker.com/id/1039465 https://bugzilla.mozilla.org/show_bug.cgi?id=1368859 https://www.mozilla.org/security/advisories/mfsa2017-21 •
CVSS: 5.3EPSS: 0%CPEs: 1EXPL: 1CVE-2017-7816
https://notcve.org/view.php?id=CVE-2017-7816
WebExtensions could use popups and panels in the extension UI to load an "about:" privileged URL, violating security checks that disallow this behavior. This vulnerability affects Firefox < 56. WebExtensions podría utilizar las ventanas emergentes y los paneles en la interfaz de usuario de la extensión para cargar una URL privilegiada "about:", violando las comprobaciones de seguridad que no permiten este comportamiento. Esta vulnerabilidad afecta a las versiones anteriores a la 56 de Firefox. • http://www.securityfocus.com/bid/101057 http://www.securitytracker.com/id/1039465 https://bugzilla.mozilla.org/show_bug.cgi?id=1380597 https://www.mozilla.org/security/advisories/mfsa2017-21 • CWE-20: Improper Input Validation •
CVSS: 5.3EPSS: 0%CPEs: 1EXPL: 1CVE-2017-7820
https://notcve.org/view.php?id=CVE-2017-7820
The "instanceof" operator can bypass the Xray wrapper mechanism. When called on web content from the browser itself or an extension the web content can provide its own result for that operator, possibly tricking the browser or extension into mishandling the element. This vulnerability affects Firefox < 56. El operador "instanceof" puede omitir el mecanismo del wrapper Xray. Cuando se le llama en un contenido web desde el propio navegador o una extensión, el contenido web puede proporcionar su propio resultado para ese operador, pudiendo engañar al navegador o extensión para que manipule erróneamente el elemento. • http://www.securityfocus.com/bid/101057 http://www.securitytracker.com/id/1039465 https://bugzilla.mozilla.org/show_bug.cgi?id=1378207 https://www.mozilla.org/security/advisories/mfsa2017-21 •
CVSS: 9.8EPSS: 0%CPEs: 1EXPL: 1CVE-2017-7821
https://notcve.org/view.php?id=CVE-2017-7821
A vulnerability where WebExtensions can download and attempt to open a file of some non-executable file types. This can be triggered without specific user interaction for the file download and open actions. This could be used to trigger known vulnerabilities in the programs that handle those document types. This vulnerability affects Firefox < 56. Una vulnerabilidad en el que WebExtensions puede descargar e intentar abrir un archivo de tipos que no sean ejecutables. • http://www.securityfocus.com/bid/101057 http://www.securitytracker.com/id/1039465 https://bugzilla.mozilla.org/show_bug.cgi?id=1346515 https://www.mozilla.org/security/advisories/mfsa2017-21 • CWE-732: Incorrect Permission Assignment for Critical Resource •