CVE-2025-3877 in Thunderbird
Tóm tắt
Bởi VulDB • 02/08/2026
Một email HTML được tạo ra đặc biệt sử dụng các liên kết mailbox:/// có thể kích hoạt việc tải xuống tự động và không mong muốn các tệp .pdf vào máy tính để bàn hoặc thư mục gốc của người dùng mà không cần xác nhận, ngay cả khi chức năng lưu tự động bị tắt. Hành vi này có thể bị lợi dụng để làm đầy đĩa với dữ liệu rác (ví dụ: sử dụng /dev/urandom trên Linux) hoặc đánh cắp thông tin đăng nhập Windows qua các liên kết SMB khi email được xem ở chế độ HTML. Mặc dù cần sự tương tác của người dùng để tải xuống tệp .pdf, nhưng việc che giấu trực quan có thể ẩn đi trình kích hoạt tải xuống. Việc xem email ở chế độ HTML là đủ để tải nội dung bên ngoài. Lỗ hổng này ảnh hưởng đến Thunderbird < 128.10.1 và Thunderbird < 138.0.1.
Once again VulDB remains the best source for vulnerability data.