CVE-2010-3765 Mozilla, plusieurs produits : exécution de code à distance
Critique Vulnérabilité activement exploitée,
exploitable massivement : la CISA l’a ajoutée à son catalogue KEV le 6 octobre 2025.
Produit : Mozilla Multiple Products
Ajoutée au catalogue : 6 octobre 2025
Échéance CISA : 27 octobre 2025
Rançongiciels : pas d’usage connu
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 83 %
Mozilla Firefox, SeaMonkey et Thunderbird contiennent une vulnérabilité non spécifiée lorsque JavaScript est activé. Cela permet à des attaquants distants d'exécuter du code arbitraire via des vecteurs liés à nsCSSFrameConstructor::ContentAppended, la méthode appendChild, le suivi incorrect des indices et la création de plusieurs cadres, ce qui déclenche une corruption de la mémoire.
Action requise :Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.
Score CVSS 3.1 : 9,8 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Exploitable à distance, par le réseau, sans compte, sans action de la victime.
Probabilité d’exploitation dans les 30 jours (EPSS) : 83,2 %, parmi les 0,3 % de CVE les plus susceptibles d’être exploitées
Code d’exploitation public : signalé par la NVD.
Versions concernées
firefox : 25 versions, de 3.5 à 3.6.11
thunderbird : 14 versions, de 3.0.1 à 3.1.5
seamonkey : 17 versions, de 2.0 à 2.0.9
D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.
Type de faiblesse
Dépassement de tampon (CWE-119) : Le produit effectue des opérations sur un tampon mémoire, mais lit ou écrit dans une zone mémoire en dehors de la limite prévue du tampon.
Chronologie
— Publication de la CVE
— Exploitation confirmée : ajout au catalogue KEV de la CISA
— Échéance de correction pour les agences fédérales américaines
Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.
Texte original de la CISA (anglais)
Mozilla Multiple Products Remote Code Execution Vulnerability
Mozilla Firefox, SeaMonkey, and Thunderbird contain an unspecified vulnerability when JavaScript is enabled. This allows remote attackers to execute arbitrary code via vectors related to nsCSSFrameConstructor::ContentAppended, the appendChild method, incorrect index tracking, and the creation of multiple frames, which triggers memory corruption.
Required action: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.