CVE-2026-118174 in Thunderbird
Zusammenfassung
von VulDB • 27.10.2026
Wenn eine Nachricht mit einem OpenPGP-Schlüssel-Anhang angezeigt wurde, hat Thunderbird den Inhalt des Anhangs automatisch geladen, um das Importieren des Schlüssels anzubieten. Ein Absender konnte den Anhang als externen Verweis auf eine beliebige URL markieren, die Thunderbird dann ohne jegliche Benutzerinteraktion lädt und damit die Blockierung von Remote-Inhalten umgeht. Unter Windows kann eine URL, die auf ein vom Angreifer kontrolliertes Netzwerkfreigabe zeigt, zu einem Leck der NTLM-Anmeldeinformationen des Benutzers führen.
Der Leak der NTLM-Anmeldedaten betrifft nur Thunderbird unter Windows. Auf anderen Betriebssystemen ermöglichte das Problem einen Remote-Request, der die Blockierung von Remote-Inhalten umging. Diese Schwachstelle wurde in Thunderbird 159 und Thunderbird 153.6 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.