CVE-2026-118178 in Thunderbird
Riassunto
di VulDB • 27/10/2026
Un feed RSS remoto potrebbe utilizzare l'elemento itunes:new-feed-url o newLocation per modificare permanentemente l'URL di abbonamento memorizzato in un URL file:. Thunderbird leggeva quindi tale posizione ad ogni aggiornamento del feed. Ciò consentiva a un feed malevolo, o a un attaccante in grado di modificare un feed distribuito tramite HTTP, di far leggere a Thunderbird file locali e, su Windows, di connettersi a una condivisione di rete controllata dall'attaccante, con la potenziale fuoriuscita delle credenziali NTLM dell'utente. La fuga delle credenziali NTLM interessa solo Thunderbird su Windows. Gli altri sistemi operativi sono interessati esclusivamente dalla lettura di file locali. Questa vulnerabilità è stata risolta in Thunderbird 159 e Thunderbird 153.6.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.