CVE-2026-57963
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Podatność w Thunderbirdzie pozwala atakującemu na wstrzyknięcie dowolnie stylizowanej treści, linków phishingowych oraz CSS poprzez wysłanie wiadomości HTML w czacie (Matrix lub XMPP). Luka została naprawiona w wersjach Thunderbird 152.0.1 i 140.12.1.
Ocena ryzyka
Organizacja narażona jest na ataki phishingowe oraz manipulację interfejsem czatu, co może prowadzić do wyłudzenia danych lub wprowadzenia użytkowników w błąd.
Rekomendacja
Niezwłocznie zaktualizuj Thunderbirda do wersji 152.0.1 lub 140.12.1, aby wyeliminować podatność.
Inne podatności w Thunderbird
Zobacz wszystkie- CVE-2026-16361Krytyczne
Błędy bezpieczeństwa pamięci w Thunderbird ESR 140.12, które mogą umożliwić wykonanie dowolnego kodu. Luka została naprawiona w Firefox ESR 115.38, Firefox ESR 140.13 i Thunderbird 140.13.
- CVE-2026-14899Wysokie
Kod parsowania nagłówków MIME w Thunderbirdzie przy przekazywaniu wiadomości (gdy włączono opcję wyświetlania wszystkich nagłówków) zawiera błąd off-by-one, umożliwiający odczytanie jednego bajtu z pamięci poza buforem nagłówków, co może spowodować awarię Thunderbirda. Podatność została naprawiona w Thunderbird 153 i Thunderbird 140.13.
- CVE-2026-57962Średnie
Złośliwy serwer LDAP, z którego Thunderbird pobiera dane do autouzupełniania książki adresowej, może przesyłać dowolnie duże ilości danych do klienta LDAP, powodując wyczerpanie pamięci i awarię programu. Podatność została naprawiona w Thunderbird 152.0.1 i 140.12.1.
- CVE-2026-12329Średnie
W Thunderbird ESR 140.12 naprawiono błąd bezpieczeństwa pamięci. Podatność została również załatana w Firefox ESR 140.12 i Thunderbird 140.12.
- CVE-2026-7324Wysokie
W Thunderbird 150.0.0 wykryto błędy bezpieczeństwa pamięci, które mogły prowadzić do uszkodzenia pamięci. Przy odpowiednim nakładzie pracy niektóre z nich mogły zostać wykorzystane do zdalnego wykonania kodu. Luka została naprawiona w wersji 150.0.1.
- CVE-2026-7323Wysokie
W Thunderbird ESR 140.10.0 i Thunderbird 150.0.0 wykryto błędy bezpieczeństwa pamięci. Niektóre z nich powodowały uszkodzenie pamięci, co mogło potencjalnie umożliwić wykonanie dowolnego kodu.
- CVE-2026-7322Wysokie
W Thunderbird ESR 140.10.0 i Thunderbird 150.0.0 wykryto błędy bezpieczeństwa pamięci, które mogą prowadzić do uszkodzenia pamięci. Przy odpowiednim nakładzie pracy możliwe było wykorzystanie tych błędów do zdalnego wykonania kodu.
- CVE-2026-4371Wysokie
Złośliwy serwer pocztowy może wysłać nieprawidłowe ciągi znaków z ujemnymi długościami, powodując odczyt pamięci poza buforem przez parser. Jeśli serwer pocztowy lub połączenie z nim zostanie skompromitowane, atakujący może spowodować nieprawidłowe działanie parsera, potencjalnie prowadząc do awarii Thunderbirda lub wycieku wrażliwych danych.
Oryginalny opis (angielski, źródło NVD)
An attacker who can send HTML chat messages (via Matrix or XMPP) can inject arbitrary styled content, phishing links, and CSS that manipulates the chat UI. This vulnerability was fixed in Thunderbird 152.0.1 and Thunderbird 140.12.1.