De Poolse beveiligingsonderzoeker Michal Zalewski heeft een aantal ernstige beveiligingslekken in Firefox en Internet Explorer gevonden waar nog geen patch voor is, en waardoor een aanvaller vertrouwelijke informatie kan stelen of op het systeem bestanden kan downloaden en uitvoeren.

Zo kan een aanvaller in het geval van Firefox via Javascript kwaadaardige code injecteren en zo toetsaanslagen monitoren of getoonde content op een website vervalsen. Het andere grote probleem zorgt ervoor dat door het omzeilen van bevestigingsvensters, een aanvaller, zonder dat de gebruiker dit weet, bestanden kan downloaden en uitvoeren.

Het gevaarlijkste lek bevindt zich in Microsoft's browser. Via Javascript is het mogelijk om op een nieuwe pagina acties uit te voeren met de rechten van de vorige pagina. Hierdoor kan een script cookies achterhalen of plaatsen, pagina's wijzigen, de browser laten crashen of in het ergste geval de PC overnemen. Het tweede lek in Microsoft's browser treft alleen de zesde editie, en zorgt ervoor dat een aanvaller de adresbalk kan spoofen, mogelijk ook met SSL gegevens.

Een demonstratie van Zalewski's kwetsbaarheden is via deze advisory te vinden. Het is trouwens niet alleen de Pool die Firefox op de korrel heeft genomen. Onderzoeker Thor Larholm ontdekte dat het "directory traversal lek" met Firefox 2.0.0.4 alleen in Windows gepatcht is, maar niet in Unix/Linux en OS X. Hierdoor kan een aanvaller alle voor de gebruiker toegankelijke lokale bestanden lezen.