CVSS: 6.8EPSS: 1%CPEs: 1EXPL: 0CVE-2015-7184
https://notcve.org/view.php?id=CVE-2015-7184
The fetch API implementation in Mozilla Firefox before 41.0.2 does not restrict access to the HTTP response body in certain situations where user credentials are supplied but the CORS cross-origin request algorithm is improperly followed, which allows remote attackers to bypass the Same Origin Policy via a crafted web site. La implementación de la API fetch en Mozilla Firefox en versiones anteriores a 41.0.2 no restringe el acceso al cuerpo de respuesta de HTTP en ciertas situaciones, donde las credenciales de usuario son suministradas pero el algoritmo de petición de orígenes cruzados CORS se sigue indebidamente, lo que permite a atacantes remotos eludir la Same Origin Policy a través de un sitio web manipulado. • http://lists.opensuse.org/opensuse-security-announce/2015-10/msg00021.html http://www.mozilla.org/security/announce/2015/mfsa2015-115.html http://www.oracle.com/technetwork/topics/security/bulletinapr2016-2952098.html http://www.securityfocus.com/bid/77100 http://www.securitytracker.com/id/1033820 http://www.ubuntu.com/usn/USN-2768-1 https://bugzilla.mozilla.org/show_bug.cgi?id=1208339 https://bugzilla.mozilla.org/show_bug.cgi?id=1212669 • CWE-284: Improper Access Control •
CVSS: 6.6EPSS: 0%CPEs: 10EXPL: 0CVE-2015-4505
https://notcve.org/view.php?id=CVE-2015-4505
updater.exe in Mozilla Firefox before 41.0 and Firefox ESR 38.x before 38.3 on Windows allows local users to write to arbitrary files by conducting a junction attack and waiting for an update operation by the Mozilla Maintenance Service. Vulnerabilidad en updater.exe en Mozilla Firefox en versiones anteriores a 41.0 y Firefox ESR 38.x en versiones anteriores a 38.3 en Windows, permite a usuarios locales escribir en archivos arbitrarios mediante la realización de un ataque de unión y esperando por una operación de actualización por el Mozilla Maintenance Service. • http://lists.opensuse.org/opensuse-security-announce/2015-10/msg00000.html http://lists.opensuse.org/opensuse-security-announce/2015-10/msg00003.html http://lists.opensuse.org/opensuse-security-announce/2015-10/msg00005.html http://www.mozilla.org/security/announce/2015/mfsa2015-100.html http://www.oracle.com/technetwork/topics/security/bulletinapr2016-2952098.html http://www.securitytracker.com/id/1033640 https://bugzilla.mozilla.org/show_bug.cgi?id=1177861 • CWE-264: Permissions, Privileges, and Access Controls •
CVSS: 5.0EPSS: 0%CPEs: 1EXPL: 0CVE-2015-4503
https://notcve.org/view.php?id=CVE-2015-4503
The TCP Socket API implementation in Mozilla Firefox before 41.0 mishandles array boundaries that were established with a navigator.mozTCPSocket.open method call and send method calls, which allows remote TCP servers to obtain sensitive information from process memory by reading packet data, as demonstrated by availability of this API in a Firefox OS application. Vulnerabilidad en la implementación de la API TCP Socket en Mozilla Firefox en versiones anteriores a 41.0, no maneja correctamente los límites del array que fueron establecidos con una llamada al método navigator.mozTCPSocket.open y envío de llamadas a métodos, lo que permite a servidores TCP remotos obtener información sensible de la memoria de proceso mediante la lectura de datos de paquete, según lo demuostrado por la disponiblidad de esta API en una aplicación Firefox OS. • http://lists.opensuse.org/opensuse-security-announce/2015-10/msg00000.html http://lists.opensuse.org/opensuse-security-announce/2015-10/msg00005.html http://www.mozilla.org/security/announce/2015/mfsa2015-97.html http://www.oracle.com/technetwork/topics/security/bulletinapr2016-2952098.html http://www.securityfocus.com/bid/76815 http://www.securitytracker.com/id/1033640 https://bugzilla.mozilla.org/show_bug.cgi?id=994337 • CWE-200: Exposure of Sensitive Information to an Unauthorized Actor •
CVSS: 4.3EPSS: 0%CPEs: 2EXPL: 0CVE-2015-4476
https://notcve.org/view.php?id=CVE-2015-4476
Mozilla Firefox before 41.0 on Android allows user-assisted remote attackers to spoof address-bar attributes by leveraging lack of navigation after a paste of a URL with a nonstandard scheme, as demonstrated by spoofing an SSL attribute. Vulnerabilidad en Mozilla Firefox en versiones anteriores a 41.0 en Android, permite a atacantes remotos asistidos por usuario suplantar los atributos de la barra de direcciones para aprovechar la falta de navegación después de pegar una URL con un esquema no estándar, como se demuestra por la suplantación de un atributo SSL. • http://lists.opensuse.org/opensuse-security-announce/2015-10/msg00000.html http://www.mozilla.org/security/announce/2015/mfsa2015-99.html http://www.oracle.com/technetwork/topics/security/bulletinapr2016-2952098.html http://www.securityfocus.com/bid/76815 http://www.securitytracker.com/id/1033640 https://bugzilla.mozilla.org/show_bug.cgi?id=1162372 • CWE-254: 7PK - Security Features •
CVSS: 7.5EPSS: 5%CPEs: 10EXPL: 0CVE-2015-7178
https://notcve.org/view.php?id=CVE-2015-7178
The ProgramBinary::linkAttributes function in libGLES in ANGLE, as used in Mozilla Firefox before 41.0 and Firefox ESR 38.x before 38.3 on Windows, mishandles shader access, which allows remote attackers to execute arbitrary code or cause a denial of service (memory corruption and application crash) via crafted (1) OpenGL or (2) WebGL content. La función ProgramBinary::linkAttributes en libGLES en ANGLE, tal como se utiliza en Mozilla Firefox en versiones anteriores a 41.0 y Firefox ESR 38.x en versiones anteriores a 38.3 en Windows, no maneja correctamente el acceso de shader, lo que permite a atacantes remotos ejecutar código arbitrario o causar una denegación de servicio (corrupción de memoria y caída de aplicación) a través de contenido (1) OpenGL o (2) WebGL manipulado. • http://lists.opensuse.org/opensuse-security-announce/2015-10/msg00000.html http://lists.opensuse.org/opensuse-security-announce/2015-10/msg00003.html http://lists.opensuse.org/opensuse-security-announce/2015-10/msg00005.html http://www.mozilla.org/security/announce/2015/mfsa2015-113.html http://www.oracle.com/technetwork/topics/security/bulletinapr2016-2952098.html http://www.securityfocus.com/bid/76816 http://www.securitytracker.com/id/1033640 https://bugzilla.mozilla.org/show_bug.cgi?id=1189860 • CWE-119: Improper Restriction of Operations within the Bounds of a Memory Buffer •