Der er offentliggjort korrigerende udgivelser af Firefox 100.0.2, Firefox ESR 91.9.1 og Thunderbird 91.9.1, som retter to sårbarheder, der er klassificeret som kritiske. Under den igangværende Pwn2Own 2022-konkurrence blev der demonstreret et fungerende exploit, der gjorde det muligt at omgå sandbox-isoleringen ved at åbne en specielt designet side og udføre kode i systemet. Forfatteren af exploit'en modtog en præmie på 100.000 dollars.
Den første sårbarhed (CVE-2022-1802) findes i implementeringen af await-operatoren og muliggør beskadigelse af metoder i Array-objektet gennem ændring af prototype-egenskaben ('prototype pollution'). Den anden sårbarhed (CVE-2022-1529) giver mulighed for at ændre prototype-egenskaben ved behandling af uvaliderede data under indeksering af JavaScript-objekter. Sårbarhederne gør det muligt at køre JavaScript-kode i en privilegeret overordnet proces.
Kilde: opennet.ru
