Исследователи из Nebula Security обнародовали технические детали уязвимости CVE-2026-10702, найденной в JIT-компиляторе браузера Firefox. Для успешной атаки достаточно было одного посещения вредоносной страницы — никаких действий от жертвы не требовалось.

Проблема затрагивала и Tor Browser, который использует Firefox в качестве основы, что потенциально ставило под угрозу анонимность пользователей. Атака не требовала изменения настроек, кликов или ввода данных — весь сценарий выполнялся автоматически при загрузке страницы.

Суть уязвимости связана с ошибкой в процессе JIT-компиляции JavaScript, которая позволяла злоумышленнику выполнить произвольный код в контексте браузера. Исследователи отметили, что проблема была особенно критичной для пользователей Tor, так как компрометация браузера могла раскрыть реальный IP-адрес.

Разработчики Mozilla уже выпустили патч, закрывающий данную дыру, однако в отчете не уточняется, была ли уязвимость использована в реальных атаках до публикации информации. Пользователям рекомендуется обновить Firefox и Tor Browser до последних версий.

Вероятно, это не последний случай, когда подобные проблемы всплывают в компонентах браузера, учитывая сложность JIT-компиляторов и их постоянную эволюцию.