CVE-2026-14899
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Kod parsowania nagłówków MIME w Thunderbirdzie przy przekazywaniu wiadomości (gdy włączono opcję wyświetlania wszystkich nagłówków) zawiera błąd off-by-one, umożliwiający odczytanie jednego bajtu z pamięci poza buforem nagłówków, co może spowodować awarię Thunderbirda. Podatność została naprawiona w Thunderbird 153 i Thunderbird 140.13.
Ocena ryzyka
Atakujący może spowodować awarię Thunderbirda, co prowadzi do utraty niezapisanych danych i potencjalnego wycieku informacji z pamięci.
Rekomendacja
Zaleca się natychmiastową aktualizację Thunderbirda do wersji 153 lub 140.13 lub nowszej.
Inne podatności w Thunderbird
Zobacz wszystkie- CVE-2026-16361Krytyczne
Błędy bezpieczeństwa pamięci w Thunderbird ESR 140.12, które mogą umożliwić wykonanie dowolnego kodu. Luka została naprawiona w Firefox ESR 115.38, Firefox ESR 140.13 i Thunderbird 140.13.
- CVE-2026-57963Średnie
Podatność w Thunderbirdzie pozwala atakującemu na wstrzyknięcie dowolnie stylizowanej treści, linków phishingowych oraz CSS poprzez wysłanie wiadomości HTML w czacie (Matrix lub XMPP). Luka została naprawiona w wersjach Thunderbird 152.0.1 i 140.12.1.
- CVE-2026-57962Średnie
Złośliwy serwer LDAP, z którego Thunderbird pobiera dane do autouzupełniania książki adresowej, może przesyłać dowolnie duże ilości danych do klienta LDAP, powodując wyczerpanie pamięci i awarię programu. Podatność została naprawiona w Thunderbird 152.0.1 i 140.12.1.
- CVE-2026-12329Średnie
W Thunderbird ESR 140.12 naprawiono błąd bezpieczeństwa pamięci. Podatność została również załatana w Firefox ESR 140.12 i Thunderbird 140.12.
- CVE-2026-7324Wysokie
W Thunderbird 150.0.0 wykryto błędy bezpieczeństwa pamięci, które mogły prowadzić do uszkodzenia pamięci. Przy odpowiednim nakładzie pracy niektóre z nich mogły zostać wykorzystane do zdalnego wykonania kodu. Luka została naprawiona w wersji 150.0.1.
- CVE-2026-7323Wysokie
W Thunderbird ESR 140.10.0 i Thunderbird 150.0.0 wykryto błędy bezpieczeństwa pamięci. Niektóre z nich powodowały uszkodzenie pamięci, co mogło potencjalnie umożliwić wykonanie dowolnego kodu.
- CVE-2026-7322Wysokie
W Thunderbird ESR 140.10.0 i Thunderbird 150.0.0 wykryto błędy bezpieczeństwa pamięci, które mogą prowadzić do uszkodzenia pamięci. Przy odpowiednim nakładzie pracy możliwe było wykorzystanie tych błędów do zdalnego wykonania kodu.
- CVE-2026-4371Wysokie
Złośliwy serwer pocztowy może wysłać nieprawidłowe ciągi znaków z ujemnymi długościami, powodując odczyt pamięci poza buforem przez parser. Jeśli serwer pocztowy lub połączenie z nim zostanie skompromitowane, atakujący może spowodować nieprawidłowe działanie parsera, potencjalnie prowadząc do awarii Thunderbirda lub wycieku wrażliwych danych.
Oryginalny opis (angielski, źródło NVD)
The code to parse MIME headers for display when forwarding a message (if the setting to view all headers was enabled) had an off-by-one error, allowing a single byte to be read from the memory after the buffer for the headers, and potentially crashing Thunderbird. This vulnerability was fixed in Thunderbird 153 and Thunderbird 140.13.