6.5 Moyenne

CVE-2026-118174 Displaying a message could load an attacker-chosen URL through an OpenPGP key attachment

Description

When a message containing an OpenPGP key attachment was displayed, Thunderbird automatically loaded the attachment's content to offer importing the key. A sender could mark the attachment as an external attachment pointing to an arbitrary URL, which Thunderbird then loaded without any user interaction, bypassing remote content blocking. On Windows, a URL pointing to an attacker-controlled network share could leak the user's NTLM credentials. The NTLM credential leak only affects Thunderbird on Windows. On other operating systems, the issue allowed a remote request that bypassed remote content blocking. This vulnerability was fixed in Thunderbird 159 and Thunderbird 153.6.

Détail CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N

Exploitable à distance par le réseau, sans compte et si un utilisateur effectue une action ; un attaquant peut compromettre gravement la confidentialité, l’intégrité ou la disponibilité.

Vecteur d’attaque: Réseau
Complexité: Faible
Privilèges requis: Aucun
Interaction: Requise
Portée: Inchangée
Confidentialité: Élevé
Intégrité: Aucun
Disponibilité: Aucun

Produits et versions touchés

Produit	Versions touchées	Corrigé en
Thunderbird 159	premières → < 159	159
Thunderbird 153.6	premières → < 153.6	153.6

Références

bugzilla.mozilla.org bugzilla.mozilla.org
www.mozilla.org www.mozilla.org
www.mozilla.org www.mozilla.org

Chronologie

Publiée 27 octobre 2026
Dernière modification 4 novembre 2026

Les 1713 CVE de Thunderbird →

CVE-2026-118180 Matrix homeserver could redirect the chat session to a local file or network share 7.5 Élevée CVE-2026-118179 Request forgery via news: links 8.8 Élevée CVE-2026-118177 Calendar discovery accepted local file and remote network share locations 9.1 Critique CVE-2026-118178 RSS feed could redirect its subscription to a local file or network share 5.7 Moyenne

Suivre cette CVE