Kerngegevens
- Leverancier
- Mozilla
- Product
- Thunderbird
- Soort software
- browser
- Getroffen versies
- Thunderbird ouder dan 159 en ouder dan 153.6
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Thunderbird 159 MFSA2026-121 (opent in een nieuw venster)
- Thunderbird 153.6 MFSA2026-122 (opent in een nieuw venster)
- CVE gepubliceerd
- 27 oktober 2026
- Gepubliceerd op LekkenRadar
- 4 november 2026
- Laatst gewijzigd bij NVD
- 4 november 2026
Simpel uitgelegd
Wat is er aan de hand?
Thunderbird ouder dan 159 en 153.6 kan bij het beantwoorden, doorsturen of als nieuw bewerken van een speciaal opgemaakte e-mail delen van een andere e-mail uit dezelfde map in je nieuwe bericht opnemen; Mozilla loste dit op in Thunderbird 159 en 153.6. Je krijgt daarbij geen waarschuwing over geblokkeerde inhoud te zien. Verstuur je het bericht, dan krijgen de ontvangers de inhoud van die andere e-mail mee. Het lek heeft een hoge ernst, met een CVSS-score van 7,5.
Wie loopt risico?
Je loopt risico als je Thunderbird gebruikt en een speciaal opgemaakte e-mail ontvangt die je beantwoordt, doorstuurt of als nieuw bewerkt. Het gaat mis als je het bericht daarna ook verstuurt. Dan kan vertrouwelijke inhoud van een andere mail uit dezelfde map bij de ontvangers terechtkomen. Er zijn in de gegevens geen aanwijzingen dat het lek actief wordt misbruikt.
Wat moet je doen?
Update installeren
| Product | Opgelost in | Update | Download |
|---|---|---|---|
| Thunderbird | 159 | MFSA2026-121 (opent in een nieuw venster) | Download (opent in een nieuw venster) |
| Thunderbird | 153.6 | MFSA2026-122 (opent in een nieuw venster) | Download (opent in een nieuw venster) |
Een latere update van de leverancier lost dit lek ook op. Controleer altijd het advies van de leverancier.
Controleer je versie
Open in Thunderbird het menu Help en kies Over Thunderbird. Daar zie je welke versie je draait en of er een update beschikbaar is.
Werk Thunderbird bij
Installeer Thunderbird 159 (opent in een nieuw venster) of Thunderbird 153.6 (opent in een nieuw venster). In deze versies is het lek opgelost.
Wees voorzichtig tot je bijgewerkt hebt
Beantwoord of verstuur tot de update geen onverwachte of verdachte e-mails door, en bekijk het concept goed voordat je op verzenden klikt.
Lees het advies van Mozilla
Meer details staan in het advies van Mozilla voor Thunderbird 159 (MFSA2026-121) (opent in een nieuw venster) en voor Thunderbird 153.6 (MFSA2026-122) (opent in een nieuw venster).
Dezelfde update lost meer lekken op
Dezelfde update verhelpt ook CVE-2026-118176, CVE-2026-118177, CVE-2026-118179 en CVE-2026-118180. Met de update hierboven zijn die ook opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Bij het opstellen van een bericht op basis van een bestaand bericht (antwoorden, doorsturen of als nieuw bewerken) verwerkt Thunderbird een speciaal samengestelde e-mail verkeerd. Daardoor kunnen delen van een ander bericht uit dezelfde map in het concept worden ingesloten. De waarschuwing voor geblokkeerde inhoud verschijnt daarbij niet. Wordt het bericht verzonden, dan wordt de ingesloten inhoud aan de ontvangers onthuld. Het gaat om een vertrouwelijkheidsprobleem; integriteit en beschikbaarheid worden volgens de CVSS-vector niet geraakt. Mozilla heeft het opgelost in Thunderbird 159 en Thunderbird 153.6.
CVSS-vector (versie 3.1, basisscore 7,5, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N- Zwakheid (CWE)
- CWE-200 · Blootstelling van gevoelige informatie aan onbevoegden
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,2%
- Aanvalscode openbaar
- Nee