CVE-2026-12293 : utilisation de mémoire après libération (UAF) dans WebGPU Firefox

HERMES

SCORE DE MENACE HERMES & EXPLOITATION DU MOTEUR WEBGPU

Cible : Sous-système WebGPU de Mozilla Firefox (wgpu / Gestion des tampons GPU)

Confiance : 98%

92 / 100

CRITIQUE

Mesure la pertinence opérationnelle réelle, la militarisation de l'exploit et la posture de menace active.

Décomposition des dimensions

Exploitabilité 19 / 20

Activité de menace 17 / 20

Militarisation 19 / 20

Exposition 18 / 20

Prévalence 20 / 20

Impact 20 / 20

Maturité de l'exploit 18 / 20

Potentiel d'attaque en chaîne 19 / 20

⚖️ Divergence & Justification opérationnelle

Hermes évalue la CVE-2026-12293 à un niveau Critique (HTS 92). L'API WebGPU offre un accès bas niveau direct aux tampons de calcul graphique depuis JavaScript. Une corruption du tas dans ce pilote permet de manipuler directement la mémoire et d'exécuter du code machine arbitraire.

🕸️ Graphe de connaissances connecté & Provenance

CVE-2026-12293: Mozilla Firefox WebGPU Use-After-Free Code ExecutionVULNÉRABILITÉ

Nœuds connectés : 0

Vulnérabilité critique use-after-free dans WebGPU

CVSS v3.1 : 9.0 critique : (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) / CWE-416 : utilisation de mémoire après libération.
Avis officiel Mozilla. Une gestion déficiente du cycle de vie des tampons WebGPU permet à du contenu web malveillant d’accéder à des descripteurs GPU libérés, causant une corruption mémoire et l’exécution de code arbitraire dans le processus du navigateur. Corrigé dans Firefox 152 et Firefox ESR 140.12.

---

1. Playbook de remédiation

1. Mise à niveau du navigateur : déployer Firefox 152 ou Firefox ESR 140.12.
2. Désactivation de WebGPU si non requis : désactiver l’API WebGPU sur les postes de travail via dom.webgpu.enabled = false.