Kerngegevens
- Leverancier
- Mozilla
- Producten
- Firefox, Thunderbird
- Soort software
- browser
- Getroffen versies
- Firefox ouder dan 158.0.1
- Thunderbird ouder dan 158.0.1
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Firefox 158.0.1 MFSA2026-111 (opent in een nieuw venster)
- Thunderbird 158.0.1 MFSA2026-114 (opent in een nieuw venster)
- CVE gepubliceerd
- 20 oktober 2026
- Gepubliceerd op LekkenRadar
- 29 oktober 2026
- Laatst gewijzigd bij NVD
- 29 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In het onderdeel dat SVG-afbeeldingen verwerkt, controleren Firefox en Thunderbird bepaalde grenzen niet goed. Zo'n fout kan ertoe leiden dat het programma buiten de bedoelde grenzen rekent of werkt. Het lek heeft een kritieke ernst met een score van 9,8. Mozilla heeft het opgelost in versie 158.0.1 van beide programma's.
Wie loopt risico?
Je loopt risico als je Firefox of Thunderbird gebruikt en nog niet op versie 158.0.1 zit. De score gaat uit van een aanval via het netwerk, zonder dat de aanvaller inloggegevens nodig heeft en zonder dat jij iets hoeft te doen. Uit de gegevens blijkt niet dat het lek actief wordt misbruikt of dat er publiek een werkende aanval beschikbaar is.
Wat moet je doen?
Update installeren
| Product | Opgelost in | Update | Download |
|---|---|---|---|
| Firefox | 158.0.1 | MFSA2026-111 (opent in een nieuw venster) | Download (opent in een nieuw venster) |
| Thunderbird | 158.0.1 | MFSA2026-114 (opent in een nieuw venster) | Download (opent in een nieuw venster) |
Een latere update van de leverancier lost dit lek ook op. Controleer altijd het advies van de leverancier.
Werk Firefox bij
Update Firefox naar Firefox 158.0.1 of nieuwer, zie de update hierboven, en start de browser opnieuw op, zodat de update actief wordt.
Werk Thunderbird bij
Update Thunderbird naar Thunderbird 158.0.1 of nieuwer, zie de update hierboven, en start het programma opnieuw op.
Controleer je versie
Kijk in het onderdeel 'Over' van het programma welke versie je gebruikt. Staat daar een lager nummer dan 158.0.1, dan ben je nog niet beschermd.
Lees het advies van Mozilla
Meer details staan in de adviezen van Mozilla (MFSA2026-111 voor Firefox en MFSA2026-114 voor Thunderbird, hierboven).
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek zit in de SVG-component van Firefox en Thunderbird, waar onjuiste randvoorwaarden (incorrect boundary conditions) worden gehanteerd. De fout is ingedeeld als CWE-190, een integeroverloop of wraparound bij het rekenen met gehele getallen. De CVSS-vector (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) wijst op een aanval via het netwerk met lage complexiteit, zonder vereiste rechten of gebruikersinteractie. De impact op vertrouwelijkheid, integriteit en beschikbaarheid is in die beoordeling hoog. De score van 9,8 is afkomstig van de CNA. Mozilla heeft het probleem verholpen in Firefox 158.0.1 en Thunderbird 158.0.1.
CVSS-vector (versie 3.1, basisscore 9,8, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-190 · Integeroverloop (overflow of wraparound bij gehele getallen)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,2%
- Aanvalscode openbaar
- Nee