CVE-2026-118174
Niskie ryzyko· EPSS 9%Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Gdy wyświetlana była wiadomość zawierająca załącznik z kluczem OpenPGP, Thunderbird automatycznie ładował zawartość załącznika, aby zaproponować import klucza. Nadawca mógł oznaczyć załącznik jako zewnętrzny wskazujący na dowolny adres URL, który Thunderbird ładował bez interakcji użytkownika, omijając blokowanie zdalnej zawartości. W systemie Windows adres URL wskazujący na udział sieciowy kontrolowany przez atakującego mógł spowodować wyciek poświadczeń NTLM użytkownika.
Ocena ryzyka
Atakujący może uzyskać poświadczenia NTLM użytkownika systemu Windows lub wymusić zdalne żądania z pominięciem blokad, co może prowadzić do przejęcia konta lub naruszenia prywatności.
Rekomendacja
Zaktualizuj Thunderbird do wersji 159 lub 153.6, aby wyeliminować podatność.
Inne podatności w Thunderbird
Zobacz wszystkie- CVE-2026-113867Krytyczne
Thunderbird nie escapował wartości atrybutów podczas serializacji wychodzących stanza XMPP. Ponieważ wartości z przychodzących żądań były odsyłane w automatycznych odpowiedziach, zdalny użytkownik XMPP mógł wstrzyknąć dowolne stanza do połączenia użytkownika, które serwer przetwarzał jako wysłane przez użytkownika. Błąd dotyczy wyłącznie funkcji czatu Thunderbird z kontami XMPP i został naprawiony w wersjach 158.0.1 oraz 153.5.1.
- CVE-2026-92240Krytyczne
Złośliwy lub przejęty serwer IMAP może wywołać odczyt poza zakresem w parserze odpowiedzi IMAP, wysyłając nieoznaczoną odpowiedź '* ID', powodując awarię Thunderbird. Ścieżka parsowania jest osiągalna przed uwierzytelnieniem.
- CVE-2026-92238Krytyczne
Złośliwie skonstruowany nagłówek wiadomości może prowadzić do parsowania wielu pól jako jednego lub potencjalnych naruszeń bezpieczeństwa pamięci. Podatność została naprawiona w Thunderbird 156, Thunderbird 140.16 i Thunderbird 153.3.
- CVE-2026-84639Krytyczne
Wywołanie błędu w niektórych treściach MIME powodowało użycie niezainicjalizowanej pamięci. Podatność naprawiono w Thunderbird 155, 140.15 i 153.2.
- CVE-2026-84637Krytyczne
Złośliwe zaproszenia kalendarza mogą używać załączników URI plików do uruchamiania plików wykonywalnych lokalnie lub w sieci w systemie Windows, omijając normalne zabezpieczenia załączników w Thunderbirdzie. Przy włączonym nowym widoku zaproszeń załącznik może również pojawić się pod mylącą nazwą pliku. Podatność została naprawiona w Thunderbird 154 i Thunderbird 153.2.
- CVE-2026-84143Krytyczne
Wewnętrznie znalezione błędy obecne w Thunderbird 154, Thunderbird ESR 153.1 i Thunderbird ESR 140.14. Niektóre z tych błędów wykazywały oznaki uszkodzenia pamięci lub innej wady istotnej dla bezpieczeństwa i przypuszczamy, że przy wystarczającym wysiłku niektóre z nich mogły zostać wykorzystane. Podatność została naprawiona w Firefox 155, Firefox ESR 140.15, Firefox ESR 153.2, Thunderbird 155, Thunderbird 140.15 i Thunderbird 153.2.
- CVE-2026-84142Krytyczne
Wewnętrznie znalezione błędy obecne w Thunderbird 154. Niektóre z tych błędów wykazywały oznaki uszkodzenia pamięci lub innej wady istotnej dla bezpieczeństwa i przypuszczamy, że przy wystarczającym wysiłku niektóre z nich mogły zostać wykorzystane. Podatność została naprawiona w Firefox 155 i Thunderbird 155.
- CVE-2026-16361Krytyczne
Błędy bezpieczeństwa pamięci w Thunderbird ESR 140.12, które mogą umożliwić wykonanie dowolnego kodu. Luka została naprawiona w Firefox ESR 115.38, Firefox ESR 140.13 i Thunderbird 140.13.
- CVE-2026-16360Krytyczne
W Thunderbird ESR 140.12 oraz Thunderbird 152 wykryto błędy bezpieczeństwa pamięci, z których część wskazywała na uszkodzenie pamięci. Przy odpowiednim nakładzie pracy niektóre z nich mogły zostać wykorzystane do uruchomienia dowolnego kodu. Podatność naprawiono w wersjach Firefox 153, Firefox ESR 115.38, Firefox ESR 140.13, Thunderbird 153 i Thunderbird 140.13.
- CVE-2026-118180Niskie ryzyko· EPSS 7%
Podczas logowania do konta Matrix Thunderbird używał adresu homeservera podanego w odpowiedzi serwera bez jego walidacji. Złośliwy lub przejęty homeserver mógł podać adres URL file:, powodując wysyłanie dalszych żądań Matrix do lokalnych plików lub, w systemie Windows, do udziału sieciowego kontrolowanego przez atakującego, co mogło ujawnić poświadczenia NTLM użytkownika.
Oryginalny opis (angielski, źródło NVD)
When a message containing an OpenPGP key attachment was displayed, Thunderbird automatically loaded the attachment's content to offer importing the key. A sender could mark the attachment as an external attachment pointing to an arbitrary URL, which Thunderbird then loaded without any user interaction, bypassing remote content blocking. On Windows, a URL pointing to an attacker-controlled network share could leak the user's NTLM credentials. The NTLM credential leak only affects Thunderbird on Windows. On other operating systems, the issue allowed a remote request that bypassed remote content blocking. This vulnerability was fixed in Thunderbird 159 and Thunderbird 153.6.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS