CVE-2026-84639
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wywołanie błędu w niektórych treściach MIME powodowało użycie niezainicjalizowanej pamięci. Podatność naprawiono w Thunderbird 155, 140.15 i 153.2.
Ocena ryzyka
Użycie niezainicjalizowanej pamięci może prowadzić do ujawnienia danych lub nieprzewidywalnego zachowania, co może być wykorzystane do ataków.
Rekomendacja
Zaleca się aktualizację Thunderbirda do wersji 155, 140.15 lub 153.2, aby wyeliminować podatność.
Inne podatności w Thunderbird
Zobacz wszystkie- CVE-2026-84637Krytyczne
Złośliwe zaproszenia kalendarza mogą używać załączników URI plików do uruchamiania plików wykonywalnych lokalnie lub w sieci w systemie Windows, omijając normalne zabezpieczenia załączników w Thunderbirdzie. Przy włączonym nowym widoku zaproszeń załącznik może również pojawić się pod mylącą nazwą pliku. Podatność została naprawiona w Thunderbird 154 i Thunderbird 153.2.
- CVE-2026-74990Krytyczne
W Thunderbird ESR 140.13, Thunderbird ESR 153.0 i Thunderbird 153 wykryto wewnętrznie błędy, które mogą powodować uszkodzenie pamięci lub inne defekty istotne dla bezpieczeństwa. Podatność została naprawiona w Firefox 154, Firefox ESR 115.39, Firefox ESR 140.14, Firefox ESR 153.1, Thunderbird 154, Thunderbird 140.14 i Thunderbird 153.1.
- CVE-2026-74989Krytyczne
W Thunderbird 153 wykryto wewnętrznie błędy, które mogą powodować uszkodzenie pamięci lub inne defekty istotne dla bezpieczeństwa. Podatność została naprawiona w Firefox 154 i Thunderbird 154.
- CVE-2026-74988Krytyczne
W Thunderbird ESR 153.0 i Thunderbird 153 wykryto wewnętrznie błędy, które mogą powodować uszkodzenie pamięci lub inne defekty istotne dla bezpieczeństwa. Podatność została naprawiona w Firefox 154, Firefox ESR 153.1, Thunderbird 154 i Thunderbird 153.1.
- CVE-2026-74987Krytyczne
W Thunderbird ESR 140.13, Thunderbird ESR 153.0 i Thunderbird 153 wykryto wewnętrznie błędy, które mogą powodować uszkodzenie pamięci lub inne defekty istotne dla bezpieczeństwa. Podatność została naprawiona w Firefox 154, Firefox ESR 140.14, Firefox ESR 153.1, Thunderbird 154, Thunderbird 140.14 i Thunderbird 153.1.
- CVE-2026-16361Krytyczne
Błędy bezpieczeństwa pamięci w Thunderbird ESR 140.12, które mogą umożliwić wykonanie dowolnego kodu. Luka została naprawiona w Firefox ESR 115.38, Firefox ESR 140.13 i Thunderbird 140.13.
- CVE-2026-84642Wysokie
Wartości ustawienia zaawansowanego mail.allowed_attachment_hostnames były używane w wyrażeniu regularnym bez odpowiedniego escapowania. Dla niektórych prawidłowych nazw hostów mogło to pozwolić na dopasowanie niezamierzonych nazw hostów i serwowanie zdalnych załączników. Podatność naprawiono w Thunderbird 155 i 153.2.
- CVE-2026-84641Wysokie
Złośliwy serwer IMAP może wywołać użycie po zwolnieniu (use-after-free) i ujawnienie pamięci sterty, wysyłając spreparowaną odpowiedź ID. Zawartość sterty może zostać zapisana do pliku prefs.js. Podatność naprawiono w Thunderbird 155, 140.15 i 153.2.
- CVE-2026-84640Wysokie
Złośliwie skonstruowany nagłówek wiadomości może prowadzić do odczytu jednego bajtu poza końcem bufora. Podatność naprawiono w Thunderbird 155, 140.15 i 153.2.
- CVE-2026-84145Wysokie
Wewnętrznie znalezione błędy w Thunderbird 154, Thunderbird ESR 153.1 i Thunderbird ESR 140.14. Niektóre z tych błędów wykazywały oznaki uszkodzenia pamięci lub innej istotnej dla bezpieczeństwa wady i przypuszczamy, że przy wystarczającym wysiłku niektóre z nich mogły zostać wykorzystane. Podatność została naprawiona w Firefox 155, Firefox ESR 115.40, Firefox ESR 140.15, Firefox ESR 153.2, Thunderbird 155, Thunderbird 140.15 i Thunderbird 153.2.
Oryginalny opis (angielski, źródło NVD)
Triggering an error condition in certain MIME bodies would cause uninitialized memory to be used. This vulnerability was fixed in Thunderbird 155, Thunderbird 140.15, and Thunderbird 153.2.