Pokud je knihovna specifikována pouze názvem, ale nikoliv přesnou cestou k souboru, mohou se útočníci pokusit podvrhnout do systému stejně pojmenovaný soubor (umístěný na web, USB, síťový disk...) a ten pak může být spuštěn spolu s aplikací, která ho volá.
Viz také: Microsoft se snaží blokovat exploity pomocí souborů DLL
Čtyři z právě opravených zranitelností reportoval Mozille TippingPoint (HP), který se k těmto informacím dostal v programu Zero Day Inititave. David Huang a Collin Jackson z Carnegie Mellon University oznámili chybu, která podvodníkům umožňuje obejít ve Firefoxu ochranu proti cross site scriptingu (XSS). Zneužijí se v tomto případě provádí pomocí kódu v JavaScriptu. (Poznámka: nedávno bylo demonstrováno, jak pomocí XSS získat kontrolu nad cizím účtem v Twitteru, zde byl naopak speciálně zranitelný Internet Explorer.)
Předpokládá se, že po opravě Firefoxu jsou ale přes podvržení DLL souboru stále zranitelné některé jiné prohlížeče, přirozeně pouze ve verzích pro Windows. Spolu s Mozillou vydal Apple opravu proti tomuto typu útoku u svého Safari.
Mozilla ovšem uvedla, že i bez opravy byl pomocí DLL exploitu Firefox zranitelný jen na Windows XP, u Windows Vista a Windows 7 podvrhnout falešnou knihovny nebylo možné.
Aktuální verze Firefoxu má číslo 3.6.9. Přidána byla také podpora pro HTTP hlavičky X-Frame Options; jejich použití na straně serveru představuje ochranu proti clickjackingu. Ostatní hlavní prohlížeče již tuto hlavičku podporují delší dobu.
Aktualizace na Firefox 3.6.9 se již nabízí i při startu prohlížeče.
PŘEDPLATNÉ
ČLÁNKY DO MAILU