CVE-2026-118178 in Thunderbird
Zusammenfassung
von VulDB • 27.10.2026
Ein Remote-RSS-Feed könnte das Element `itunes:new-feed-url` oder `newLocation` nutzen, um seine gespeicherte Abonnement-URL dauerhaft auf eine file:-URL zu ändern. Thunderbird würde diesen Speicherort bei jedem Feed-Aktualisierungszyklus lesen. Dies ermöglichte es einem bösartigen Feed bzw. einem Angreifer, der einen über HTTP ausgelieferten Feed manipulieren kann, dazu, dass Thunderbird lokale Dateien liest und unter Windows eine Verbindung zu einer vom Angreifer kontrollierten Netzwerkfreigabe herstellt, was zum Lecken der NTLM-Anmeldeinformationen des Benutzers führen könnte.
Der Leak von NTLM-Anmeldedaten betrifft ausschließlich Thunderbird unter Windows. Andere Betriebssysteme sind lediglich durch das lokale Dateileseproblem betroffen. Diese Schwachstelle wurde in Thunderbird 159 und Thunderbird 153.6 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.