CVE-2025-3877 in Thunderbird
要約
〜によって VulDB • 2026年09月10日
メールボックス:///リンクを使用した改ざんされたHTMLメールにより、自動保存が無効になっている場合でも、ユーザーへの確認なしに.pdfファイルがデスクトップまたはホームディレクトリへ自動的にかつ無承諾でダウンロードされる可能性があります。この動作は、ディスクをゴミデータ（例：Linux環境での/dev/urandomの使用）で埋め尽くすことや、メールがHTMLモードで表示された際にSMBリンクを通じてWindowsの資格情報を漏洩させるために悪用できます。.pdfファイルのダウンロードにはユーザーの対話操作が必要ですが、視覚的な欺瞞によりダウンロードトリガーを隠蔽することができます。外部コンテンツの読み込みには、メールをHTMLモードで閲覧するだけで十分です。本脆弱性はThunderbird < 128.10.1およびThunderbird < 138.0.1に影響します。
If you want to get best quality of vulnerability data, you may have to visit VulDB.