CVE-2026-84637
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Złośliwe zaproszenia kalendarza mogą używać załączników URI plików do uruchamiania plików wykonywalnych lokalnie lub w sieci w systemie Windows, omijając normalne zabezpieczenia załączników w Thunderbirdzie. Przy włączonym nowym widoku zaproszeń załącznik może również pojawić się pod mylącą nazwą pliku. Podatność została naprawiona w Thunderbird 154 i Thunderbird 153.2.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do uruchomienia złośliwego oprogramowania na komputerze ofiary, co może prowadzić do przejęcia systemu lub kradzieży danych.
Rekomendacja
Zaleca się natychmiastową aktualizację Thunderbirda do wersji 154 lub 153.2, aby wyeliminować ryzyko.
Inne podatności w Thunderbird
Zobacz wszystkie- CVE-2026-84639Krytyczne
Wywołanie błędu w niektórych treściach MIME powodowało użycie niezainicjalizowanej pamięci. Podatność naprawiono w Thunderbird 155, 140.15 i 153.2.
- CVE-2026-74990Krytyczne
W Thunderbird ESR 140.13, Thunderbird ESR 153.0 i Thunderbird 153 wykryto wewnętrznie błędy, które mogą powodować uszkodzenie pamięci lub inne defekty istotne dla bezpieczeństwa. Podatność została naprawiona w Firefox 154, Firefox ESR 115.39, Firefox ESR 140.14, Firefox ESR 153.1, Thunderbird 154, Thunderbird 140.14 i Thunderbird 153.1.
- CVE-2026-74989Krytyczne
W Thunderbird 153 wykryto wewnętrznie błędy, które mogą powodować uszkodzenie pamięci lub inne defekty istotne dla bezpieczeństwa. Podatność została naprawiona w Firefox 154 i Thunderbird 154.
- CVE-2026-74988Krytyczne
W Thunderbird ESR 153.0 i Thunderbird 153 wykryto wewnętrznie błędy, które mogą powodować uszkodzenie pamięci lub inne defekty istotne dla bezpieczeństwa. Podatność została naprawiona w Firefox 154, Firefox ESR 153.1, Thunderbird 154 i Thunderbird 153.1.
- CVE-2026-74987Krytyczne
W Thunderbird ESR 140.13, Thunderbird ESR 153.0 i Thunderbird 153 wykryto wewnętrznie błędy, które mogą powodować uszkodzenie pamięci lub inne defekty istotne dla bezpieczeństwa. Podatność została naprawiona w Firefox 154, Firefox ESR 140.14, Firefox ESR 153.1, Thunderbird 154, Thunderbird 140.14 i Thunderbird 153.1.
- CVE-2026-16361Krytyczne
Błędy bezpieczeństwa pamięci w Thunderbird ESR 140.12, które mogą umożliwić wykonanie dowolnego kodu. Luka została naprawiona w Firefox ESR 115.38, Firefox ESR 140.13 i Thunderbird 140.13.
- CVE-2026-84642Wysokie
Wartości ustawienia zaawansowanego mail.allowed_attachment_hostnames były używane w wyrażeniu regularnym bez odpowiedniego escapowania. Dla niektórych prawidłowych nazw hostów mogło to pozwolić na dopasowanie niezamierzonych nazw hostów i serwowanie zdalnych załączników. Podatność naprawiono w Thunderbird 155 i 153.2.
- CVE-2026-84641Wysokie
Złośliwy serwer IMAP może wywołać użycie po zwolnieniu (use-after-free) i ujawnienie pamięci sterty, wysyłając spreparowaną odpowiedź ID. Zawartość sterty może zostać zapisana do pliku prefs.js. Podatność naprawiono w Thunderbird 155, 140.15 i 153.2.
- CVE-2026-84640Wysokie
Złośliwie skonstruowany nagłówek wiadomości może prowadzić do odczytu jednego bajtu poza końcem bufora. Podatność naprawiono w Thunderbird 155, 140.15 i 153.2.
- CVE-2026-84145Wysokie
Wewnętrznie znalezione błędy w Thunderbird 154, Thunderbird ESR 153.1 i Thunderbird ESR 140.14. Niektóre z tych błędów wykazywały oznaki uszkodzenia pamięci lub innej istotnej dla bezpieczeństwa wady i przypuszczamy, że przy wystarczającym wysiłku niektóre z nich mogły zostać wykorzystane. Podatność została naprawiona w Firefox 155, Firefox ESR 115.40, Firefox ESR 140.15, Firefox ESR 153.2, Thunderbird 155, Thunderbird 140.15 i Thunderbird 153.2.
Oryginalny opis (angielski, źródło NVD)
Malicious calendar invitations could use file URI attachments to launch local or network-hosted executables on Windows, bypassing Thunderbird's normal executable attachment protections. With the new invitation display enabled, the attachment could also appear under a misleading filename. This vulnerability was fixed in Thunderbird 154 and Thunderbird 153.2.