Firefox 159.0.1 修好一个高危漏洞，Mozilla 11 月 3 日已发公告

作者：林序

Mozilla 11 月 3 日发布 MFSA 2026-123，Firefox 159.0.1 修复一个高危（high）漏洞 CVE-2026-120572。公告已发出一周，但没升级的浏览器不会自己变安全。

用 Firefox 的读者可以顺手看一眼版本号。Mozilla 11 月 3 日发布安全公告 MFSA 2026-123，Firefox 159.0.1 修复一个高危漏洞 。这已经是上周的消息，但没更新的浏览器不会自己变安全。

公告只列了一个漏洞：CVE-2026-120572，出在管网页排版的 Layout: Block and Inline 组件，问题是“边界条件不正确”，由 Mozilla 自己发现并报告 。公告里没有提到它已被实际利用 。

“高危”（high）在 Mozilla 的分级里指的是：攻击者只要让你正常浏览网页，就可能读走其他窗口里的敏感数据，或往那些页面注入内容 。它比 critical 低一档，后者不用额外操作就能运行攻击代码，但门槛仍然只是“上网” 。

升级的代价很小。菜单里点“帮助→关于 Firefox”，它会自己下载，重启后版本号变成 159.0.1 就对了 。不重启，旧版本还在跑。

两点限制。公告的产品栏只写了 Firefox，官方索引里 11 月 3 日也没有配套的 ESR 条目，长期支持版最近一次更新是 10 月 27 日的 ESR 153.6 和 115.44 ，用 ESR 的人不必在这份公告里找自己的版本。安卓和 iOS 也不在范围内，iOS 的 160.0 公告是 11 月 9 日单独发的 。

开着自动更新、常重启的人多半已经升级。真正该查的是关了更新、或者一台电脑开着浏览器几个月的用户。

转载说明

本文根据以下公开资料整理，原文及配图出处见下方。

• [S1] Security Vulnerabilities fixed in Firefox 159.0.1
• [S2] Security Vulnerabilities fixed in Firefox 159.0.1
• [S3] Mozilla Foundation Security Advisories
• 配图 1：来源：Mozilla（图片署名见原文） · 图片出处