CVE-2026-12304 : fuite de cookies inter-domaines et contournement SOP dans Firefox

HERMES

SCORE DE MENACE HERMES & DÉTOURNEMENT DE SESSIONS PAR COOKIES

Cible : Sous-système de validation de portée des cookies de Firefox

Confiance : 96%

72 / 100

MEDIUM

Mesure la pertinence opérationnelle réelle, la militarisation de l'exploit et la posture de menace active.

Décomposition des dimensions

Exploitabilité 17 / 20

Activité de menace 13 / 20

Militarisation 15 / 20

Exposition 17 / 20

Prévalence 20 / 20

Impact 14 / 20

Maturité de l'exploit 14 / 20

Potentiel d'attaque en chaîne 17 / 20

⚖️ Divergence & Justification opérationnelle

Hermes évalue la CVE-2026-12304 à un niveau Moyen (HTS 72). L'étanchéité des cookies de session est le pilier de l'authentification web. L'exploitation d'une confusion de portée entre domaines frères permet à des acteurs malveillants d'usurper des comptes d'entreprise.

🕸️ Graphe de connaissances connecté & Provenance

CVE-2026-12304: Mozilla Firefox Cross-Origin Cookie Leakage & SOP BypassVULNÉRABILITÉ

Nœuds connectés : 0

Contournement de la same-origin Policy sur la portée des cookies

CVSS v3.1 : 6.5 moyen : (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N) / CWE-346 : erreur de validation de l’origine.
Avis officiel Mozilla. Une vulnérabilité dans l’évaluation du domaine de validité des cookies permet à un site hostile d’accéder aux cookies de session positionnés par d’autres origines partageant un suffixe de domaine commun. Corrigé dans Firefox 152 et Firefox ESR 140.12.

---

1. Playbook de remédiation

1. Mettre à jour le navigateur : installer Firefox 152 ou Firefox ESR 140.12.
2. Durcissement des applications web : forcer les attributs Secure, HttpOnly et SameSite=Strict sur tous les cookies d’authentification sensibles.