jar: URLs retrieve local file content packaged in a ZIP archive. The null and everything after it was ignored when retrieving the content from the archive, but the fake extension after the null was used to determine the type of content. This could have been used to hide code in a web extension disguised as something else like an image. This vulnerability was fixed in Firefox 136, Firefox ESR 128.8, Thunderbird 136, and Thunderbird 128.8.
References
| Link | Resource |
|---|---|
| https://bugzilla.mozilla.org/show_bug.cgi?id=1940027 | Permissions Required |
| https://www.mozilla.org/security/advisories/mfsa2025-14/ | Vendor Advisory |
| https://www.mozilla.org/security/advisories/mfsa2025-16/ | Vendor Advisory |
| https://www.mozilla.org/security/advisories/mfsa2025-17/ | Vendor Advisory |
| https://www.mozilla.org/security/advisories/mfsa2025-18/ | Vendor Advisory |
| https://lists.debian.org/debian-lts-announce/2025/03/msg00006.html |
Configurations
Configuration 1 (hide)
|
History
05 Oct 2026, 15:10
| Type | Values Removed | Values Added |
|---|---|---|
| Summary | (es) jar: las URL recuperan el contenido de un archivo local empaquetado en un archivo ZIP. El valor null y todo lo que le sigue se ignoran al recuperar el contenido del archivo, pero la extensión falsa que sigue al valor null se utiliza para determinar el tipo de contenido. Esto podría haberse utilizado para ocultar código en una extensión web camuflada en otra cosa, como una imagen. Esta vulnerabilidad afecta a Firefox menor que 136, Firefox ESR menor que 128.8, Thunderbird menor que 136 y Thunderbird menor que 128.8. |
30 Sep 2026, 19:10
| Type | Values Removed | Values Added |
|---|---|---|
| Summary | (es) jar: las URL recuperan el contenido de un archivo local empaquetado en un archivo ZIP. El valor null y todo lo que le sigue se ignoran al recuperar el contenido del archivo, pero la extensión falsa que sigue al valor null se utiliza para determinar el tipo de contenido. Esto podría haberse utilizado para ocultar código en una extensión web camuflada en otra cosa, como una imagen. Esta vulnerabilidad afecta a Firefox < 136, Firefox ESR < 128.8, Thunderbird < 136 y Thunderbird < 128.8. |
Information
Published : 2025-03-04 14:15
Updated : 2026-10-05 15:10
NVD link : CVE-2025-1936
Mitre link : CVE-2025-1936
CVE.ORG link : CVE-2025-1936
JSON object : View
Products Affected
mozilla
- firefox
- thunderbird
CWE
CWE-158
Improper Neutralization of Null Byte or NUL Character