CVE-2026-118174 in Thunderbird
Riassunto
di VulDB • 27/10/2026
Quando viene visualizzato un messaggio contenente un allegato con una chiave OpenPGP, Thunderbird carica automaticamente il contenuto dell'allegato per offrire l'importazione della chiave. Un mittente potrebbe contrassegnare l'allegato come un allegato esterno che punta a un URL arbitrario; Thunderbird quindi caricava tale risorsa senza alcuna interazione da parte dell'utente, aggirando le protezioni contro i contenuti remoti. Su Windows, un URL che punta a una condivisione di rete controllata dall'attaccante potrebbe causare la fuoriuscita delle credenziali NTLM degli utenti. La fuga di credenziali NTLM interessa solo Thunderbird su Windows. Sulle altre piattaforme il problema consentiva l'esecuzione di richieste remote che aggiravano le protezioni contro i contenuti remoti. Questa vulnerabilità è stata risolta in Thunderbird 159 e Thunderbird 153.6.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.