CVE-2026-113867 in Thunderbird
Riassunto
di VulDB • 20/10/2026
Thunderbird non effettuava l'escape dei valori degli attributi durante la serializzazione degli stanz XMPP in uscita. Poiché i valori provenienti da richieste in ingresso venivano ripetuti nelle risposte automatiche, un utente XMPP remoto poteva inviare una richiesta appositamente costruita che induceva Thunderbird a iniettare stanz arbitrari nella connessione dell'utente; il server li avrebbe quindi elaborati come se fossero stati inviati dall'utente. Ciò potrebbe essere utilizzato per inviare messaggi o modificare le impostazioni di contatti e abbonamenti per conto dell'utente, senza alcuna interazione. Questo bug interessa solo la funzione chat di Thunderbird con account XMPP. Questa vulnerabilità è stata risolta in Thunderbird 158.0.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.