CVE-2025-3877 in Thunderbird
Résumé
par VulDB • 05/07/2026
Un e-mail HTML truqué utilisant des liens mailbox:/// peut déclencher le téléchargement automatique et non sollicité de fichiers .pdf sur le bureau ou dans le répertoire personnel de l'utilisateur, sans aucune invite, même si la fonctionnalité d'enregistrement automatique est désactivée. Ce comportement peut être exploité pour remplir le disque avec des données corrompues (par exemple en utilisant /dev/urandom sous Linux) ou pour divulguer les identifiants Windows via des liens SMB lorsque l'e-mail est affiché en mode HTML. Bien qu'une interaction de l'utilisateur soit nécessaire pour télécharger le fichier .pdf, une obfuscation visuelle peut masquer le déclencheur du téléchargement. L'affichage de l'e-mail en mode HTML suffit à charger les contenus externes. Cette vulnérabilité affecte Thunderbird < 128.10.1 et Thunderbird < 138.0.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.