Beveiligingsonderzoekers hebben een nieuw "protocol handling" probleem in Firefox aangetroffen, waardoor in bepaalde situaties het uitvoeren van willekeurige code mogelijk is. Het probleem doet zich voor met de "jar:" protocol handler, die de inhoud van een archief niet goed controleert, en uitvoert in de context van de site die het archief aanbiedt. Dit kan misbruikt worden om op websites die gebruikers bepaalde bestanden laten uploaden, cross site scripting aanvallen uit te voeren.

Via de het jar protocol is het mogelijk om content uit een gecomprimeerd bestand te halen. "Als het kwaadaardige Zip, Doc, Odt, etc. bestand is geupload/gedeeld, kunnen aanvallers op elke manier mogelijk een cross-site scripting aanval uitvoeren. Ik heb ontdekt dat veel meer applicaties met dit probleem te maken hebben, waaronder die van Google en Microsoft. Het aantal is zo groot dat het geen zin heeft om ze hier allemaal te noemen, of verder te onderzoeken. De oorzaak van het probleem is overal dezelfde, de jar: URL protocol handler", zegt Petko Petkov.

De kwetsbaarheid was al in februari door een andere onderzoeker aan Mozilla gemeld. De browser ontwikkelaar besloot de kwetsbaarheid niet aan het publiek bekend te maken, maar heeft dat na de publicatie van Petkov alsnog gedaan.