Kerngegevens
- Leverancier
- Mozilla
- Product
- Thunderbird
- Soort software
- browser
- Getroffen versies
- Thunderbird ouder dan 159 en ouder dan 153.6
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Thunderbird 159 MFSA2026-121 (opent in een nieuw venster)
- Thunderbird 153.6 MFSA2026-122 (opent in een nieuw venster)
- CVE gepubliceerd
- 27 oktober 2026
- Gepubliceerd op LekkenRadar
- 4 november 2026
- Laatst gewijzigd bij NVD
- 4 november 2026
Simpel uitgelegd
Wat is er aan de hand?
Thunderbird ouder dan 159 en 153.6 accepteert bij het zoeken naar agenda's ook agendalocaties die naar andere servers, lokale bestanden of netwerkshares wijzen; Mozilla loste dit op in Thunderbird 159 en 153.6. Dat zoeken gebeurt bijvoorbeeld bij het instellen van een account of het toevoegen van een netwerkagenda. Een kwaadwillende server kon Thunderbird zo een agenda laten nemen op een locatie van de aanvaller. Een aanvaller op het netwerk kon dat ook doen als het zoeken via gewone HTTP verliep.
Wie loopt risico?
Je loopt risico als je Thunderbird gebruikt en een agenda zoekt of toevoegt via een server die niet te vertrouwen is, of via een onbeveiligde verbinding (gewone HTTP). Op Windows kunnen daardoor je NTLM-inloggegevens bij elke verversing van de agenda naar de server van de aanvaller lekken. Wijzigingen in de agenda kunnen dan ook op de share van de aanvaller terechtkomen of een lokaal bestand overschrijven.
Wat moet je doen?
Update installeren
| Product | Opgelost in | Update | Download |
|---|---|---|---|
| Thunderbird | 159 | MFSA2026-121 (opent in een nieuw venster) | Download (opent in een nieuw venster) |
| Thunderbird | 153.6 | MFSA2026-122 (opent in een nieuw venster) | Download (opent in een nieuw venster) |
Een latere update van de leverancier lost dit lek ook op. Controleer altijd het advies van de leverancier.
Controleer je versie
Open Thunderbird en kijk via Help, Over Thunderbird welke versie je gebruikt.
Werk Thunderbird bij
Installeer Thunderbird 159 (opent in een nieuw venster) of Thunderbird 153.6 (opent in een nieuw venster). In deze versies heeft Mozilla het lek opgelost.
Wees voorzichtig tot je bijgewerkt hebt
Voeg tot de update geen agenda's toe via servers die je niet kent of via onbeveiligde verbindingen (gewone HTTP).
Controleer je agenda's
Kijk of je agenda's staan die je niet herkent, bijvoorbeeld met een locatie op een andere server of een netwerkshare, en verwijder die.
Lees het advies van de leverancier
Meer details staan in het advies van Mozilla voor Thunderbird 159 (MFSA2026-121) (opent in een nieuw venster) en voor Thunderbird 153.6 (MFSA2026-122) (opent in een nieuw venster).
Dezelfde update lost meer lekken op
Dezelfde update verhelpt ook CVE-2026-118175, CVE-2026-118176, CVE-2026-118179 en CVE-2026-118180. Met de update hierboven zijn die ook opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Bij het zoeken naar agenda's in een map op een server (tijdens het instellen van een account of het toevoegen van een netwerkagenda) controleerde Thunderbird de teruggegeven agendalocaties onvoldoende. Locaties die naar andere servers, lokale bestanden of netwerkshares verwijzen werden geaccepteerd. Een kwaadaardige server, of een aanvaller op het netwerk bij een zoekopdracht via gewone HTTP, kon Thunderbird zo op zo'n locatie laten abonneren. Op Windows kon dit bij elke verversing NTLM-inloggegevens naar een door de aanvaller beheerde host laten lekken. Ook konden wijzigingen naar de share van de aanvaller worden geschreven of een lokaal bestand overschrijven. De CVSS-score is 9,1 (vector AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H).
CVSS-vector (versie 3.1, basisscore 9,1, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H- Zwakheid (CWE)
- CWE-601 · Doorverwijzing naar een niet-vertrouwde locatie (open redirect)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,2%
- Aanvalscode openbaar
- Nee