CVE-2025-3909
Açıklama
Thunderbird'ün X-Mozilla-External-Attachment-URL başlığını işleme biçimi, file:/// bağlamında JavaScript yürütmek için istismar edilebilir. İç içe geçmiş bir e-posta eki (message/rfc822) oluşturup içerik türünü application/pdf olarak ayarlayarak, Thunderbird bunu açıldığında hatalı bir şekilde HTML olarak işleyebilir ve bu durum gömülü JavaScript'in dosya indirme gereksinimi olmadan çalışmasına izin verir. Bu davranış, Thunderbird'ün eki /tmp dizinine otomatik olarak kaydetmesine ve file:/// protokolü üzerinden ona bağlantı vermesine dayanır; bu da potansiyel olarak HTML'in bir parçası olarak JavaScript yürütülmesini sağlar. Bu güvenlik açığı Thunderbird 128.10.1 ve Thunderbird 138.0.1 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- mozilla thunderbird128.10.1, 138.0.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mozilla thunderbird | v < 128.10.1, 129.0 ≤ v < 138.0.1 | 128.10.1, 138.0.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.