CVE-2026-15718

MedioPubblicato

Puntatore non valido nel componente JavaScript: WebAssembly

Pubblicato: 14 lug 2026
Aggiornato: 22 lug 2026
Assegnazione CNA: mozilla
Evidenza osservata: 24 ago 2026

CVSS primario

4,3/ 10Medio

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N

Stima della probabilità EPSS

0,5%

Basso · prossimi 30 giorni

Percentile: 40,7%
Data del modello: 15 ott 2026

L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.

Riepilogo

Siamo a conoscenza che il codice di exploit per questa vulnerabilità è pubblico, tuttavia non siamo a conoscenza di attacchi in natura che sfruttano questo difetto. Questa vulnerabilità è stata corretta in Firefox 152.0.6, Firefox ESR 140.13 e Thunderbird 140.13.

Fonti

CVE-2026-15718-who-put-ptrs-in-my-wasmExploit
Catena di exploit PoC per CVE-2026-15718: compilatore baseline wasm di SpiderMonkey, array.fill con sync mancante -> puntatore non valido -> addrOf/fakeobj -> R/W arbitraria -> RCE

Utilizzo responsabile

Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.