Due to insufficient escaping of the ampersand character in the “Copy as cURL” feature, an attacker could trick a user into using this command, potentially leading to local code execution on the user's system.
*This bug only affects Firefox for Windows. Other versions of Firefox are unaffected.*. This vulnerability was fixed in Firefox 139, Firefox ESR 115.24, Firefox ESR 128.11, Thunderbird 139, and Thunderbird 128.11.
References
| Link | Resource |
|---|---|
| https://bugzilla.mozilla.org/show_bug.cgi?id=1962301 | Permissions Required |
| https://www.mozilla.org/security/advisories/mfsa2025-42/ | Vendor Advisory |
| https://www.mozilla.org/security/advisories/mfsa2025-43/ | Vendor Advisory |
| https://www.mozilla.org/security/advisories/mfsa2025-44/ | Vendor Advisory |
| https://www.mozilla.org/security/advisories/mfsa2025-45/ | |
| https://www.mozilla.org/security/advisories/mfsa2025-46/ |
Configurations
Configuration 1 (hide)
|
History
05 Oct 2026, 15:10
| Type | Values Removed | Values Added |
|---|---|---|
| Summary | (es) Debido a la insuficiente capacidad de escape del carácter “&” en la función “Copiar como cURL”, un atacante podría engañar a un usuario para que use este comando, lo que podría provocar la ejecución de código local en su sistema. Este error solo afecta a Firefox para Windows. Las demás versiones de Firefox no se ven afectadas.* Esta vulnerabilidad afecta a Firefox menor que 139, Firefox ESR menor que 115.24 y Firefox ESR menor que 128.11. |
30 Sep 2026, 18:10
| Type | Values Removed | Values Added |
|---|---|---|
| Summary | (es) Debido a la insuficiente capacidad de escape del carácter “&” en la función “Copiar como cURL”, un atacante podría engañar a un usuario para que use este comando, lo que podría provocar la ejecución de código local en su sistema. Este error solo afecta a Firefox para Windows. Las demás versiones de Firefox no se ven afectadas.* Esta vulnerabilidad afecta a Firefox < 139, Firefox ESR < 115.24 y Firefox ESR < 128.11. |
Information
Published : 2025-05-27 13:15
Updated : 2026-10-05 15:10
NVD link : CVE-2025-5265
Mitre link : CVE-2025-5265
CVE.ORG link : CVE-2025-5265
JSON object : View
Products Affected
mozilla
- firefox
CWE
CWE-77
Improper Neutralization of Special Elements used in a Command ('Command Injection')