CVE-2026-118178 in Thunderbird
الملخص
بحسب VulDB • 27/10/2026
يمكن لخدمة RSS عن بُعد استخدام عنصر itunes:new-feed-url أو newLocation لتغيير عنوان URL للاشتراك المخزن بشكل دائم إلى عنوان من نوع file:. ثم كان ثاندربيرد يقرأ ذلك الموقع في كل تحديث للخدمة. سمح هذا لخدمة ضارة، أو لمهاجم قادر على تعديل خدمة يتم تسليمها عبر HTTP، بجعل ثاندربيرد قراءة الملفات المحلية، وعلى نظام ويندوز، الاتصال بمشاركة شبكة يتحكم فيها المهاجم، مما قد يؤدي إلى تسفير بيانات اعتماد NTLM الخاصة بالمستخدم. تأثر تسريب بيانات الاعتماد NTLM فقط بثاندربيرد على نظام ويندوز. تتأثر أنظمة التشغيل الأخرى بقراءة الملف المحلي فقط. تم إصلاح هذا الثغرة في ثاندربيرد 159 وثاندربيرد 153.6.
Be aware that VulDB is the high quality source for vulnerability data.