8.8 Élevée

CVE-2026-118179 Request forgery via news: links

Description

Clicking a news: or snews: link that referenced a message-ID made Thunderbird connect, without asking, to the host and port given in the link, even if it was not a configured news server. Line breaks in the message-ID were sent to the server unmodified, so a crafted link could send arbitrary commands to services reachable from the user's network. In addition, snews: links to such servers connected without TLS. This vulnerability was fixed in Thunderbird 159 and Thunderbird 153.6.

Détail CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Exploitable à distance par le réseau, sans compte et si un utilisateur effectue une action ; un attaquant peut compromettre gravement la confidentialité, l’intégrité ou la disponibilité.

Vecteur d’attaque: Réseau
Complexité: Faible
Privilèges requis: Aucun
Interaction: Requise
Portée: Inchangée
Confidentialité: Élevé
Intégrité: Élevé
Disponibilité: Élevé

Produits et versions touchés

Produit	Versions touchées	Corrigé en
Thunderbird 159	premières → < 159	159
Thunderbird 153.6	premières → < 153.6	153.6

Références

bugzilla.mozilla.org bugzilla.mozilla.org
www.mozilla.org www.mozilla.org
www.mozilla.org www.mozilla.org

Chronologie

Publiée 27 octobre 2026
Dernière modification 4 novembre 2026

Les 1713 CVE de Thunderbird →

CVE-2026-118180 Matrix homeserver could redirect the chat session to a local file or network share 7.5 Élevée CVE-2026-118177 Calendar discovery accepted local file and remote network share locations 9.1 Critique CVE-2026-118178 RSS feed could redirect its subscription to a local file or network share 5.7 Moyenne CVE-2026-118176 Bypass of remote UNC path restriction in mailbox: URLs 8.1 Élevée

Suivre cette CVE