Kerngegevens
- Leverancier
- Mozilla
- Product
- Thunderbird
- Soort software
- browser
- Getroffen versies
- Thunderbird ouder dan 159 en ouder dan 153.6
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Thunderbird 159 MFSA2026-121 (opent in een nieuw venster)
- Thunderbird 153.6 MFSA2026-122 (opent in een nieuw venster)
- CVE gepubliceerd
- 27 oktober 2026
- Gepubliceerd op LekkenRadar
- 4 november 2026
- Laatst gewijzigd bij NVD
- 4 november 2026
Simpel uitgelegd
Wat is er aan de hand?
Als je in Thunderbird ouder dan 159 of 153.6 op een news:- of snews:-link klikt die naar een bericht-ID verwijst, maakt Thunderbird zonder te vragen verbinding met de host en poort uit die link; Mozilla loste dit op in Thunderbird 159 en 153.6. Dat gebeurde ook als dat geen ingestelde nieuwsserver was. Regeleinden in het bericht-ID werden ongewijzigd naar de server gestuurd, waardoor een speciaal gemaakte link willekeurige commando's kon sturen naar diensten die vanaf jouw netwerk bereikbaar zijn. Bij snews:-links naar zulke servers werd bovendien geen TLS gebruikt.
Wie loopt risico?
Je loopt risico als je Thunderbird gebruikt en op een kwaadaardige news:- of snews:-link klikt, bijvoorbeeld in een e-mail of op een website. De aanvaller kan zo diensten aanspreken die alleen vanuit jouw netwerk bereikbaar zijn. Voor misbruik is dus wel een klik van de gebruiker nodig. In de gegevens staat geen aanwijzing dat het lek actief wordt misbruikt.
Wat moet je doen?
Update installeren
| Product | Opgelost in | Update | Download |
|---|---|---|---|
| Thunderbird | 159 | MFSA2026-121 (opent in een nieuw venster) | Download (opent in een nieuw venster) |
| Thunderbird | 153.6 | MFSA2026-122 (opent in een nieuw venster) | Download (opent in een nieuw venster) |
Een latere update van de leverancier lost dit lek ook op. Controleer altijd het advies van de leverancier.
Werk Thunderbird bij
Installeer Thunderbird 159 (opent in een nieuw venster) of Thunderbird 153.6 (opent in een nieuw venster). In deze versies is het lek opgelost.
Controleer je versie
Open het menu Help en kies Over Thunderbird om te zien welke versie je gebruikt. Thunderbird zoekt daar ook meteen naar updates.
Wees voorzichtig met links
Klik tot je bijgewerkt hebt niet op news:- of snews:-links uit onbekende berichten of van onbetrouwbare websites.
Lees het advies van de leverancier
Meer details staan in het advies van Mozilla voor Thunderbird 159 (MFSA2026-121) (opent in een nieuw venster) en voor Thunderbird 153.6 (MFSA2026-122) (opent in een nieuw venster).
Dezelfde update lost meer lekken op
Dezelfde update verhelpt ook CVE-2026-118175, CVE-2026-118176, CVE-2026-118177 en CVE-2026-118180. Met de update hierboven zijn die ook opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Thunderbird verwerkte news:- en snews:-links met een message-ID zonder te controleren of de opgegeven host en poort overeenkwamen met een geconfigureerde nieuwsserver. Daardoor werd bij het klikken op de link automatisch een verbinding opgezet naar een door de aanvaller gekozen bestemming. Regeleinden in het message-ID werden niet gefilterd en ongewijzigd doorgestuurd, wat commando-injectie in het protocol mogelijk maakte naar bereikbare netwerkdiensten. Snews:-verbindingen naar zulke servers werden zonder TLS opgezet. De fout is gekoppeld aan onjuiste invoervalidatie en is opgelost in Thunderbird 159 en 153.6.
CVSS-vector (versie 3.1, basisscore 8,8, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-20 · Onjuiste invoervalidatie
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,2%
- Aanvalscode openbaar
- Nee