CVE-2025-3909
Publiée le 2025-05-14 · Dernière modification le 2026-06-17
Les utilisateurs de Mozilla Thunderbird sont affectés par une faille permettant à des pièces jointes imbriquées spécialement conçues de tromper l'application pour qu'elle exécute du JavaScript dans le contexte du système de fichiers local. Un attaquant peut utiliser cette vulnérabilité pour voler des données locales sensibles ou modifier des fichiers, à condition que la victime ouvre la pièce jointe malveillante. L'attaque peut être lancée à distance via le réseau sans authentification, bien qu'elle nécessite une interaction de la part de l'utilisateur avec l'e-mail.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Thunderbird's handling of the X-Mozilla-External-Attachment-URL header can be exploited to execute JavaScript in the file:/// context. By crafting a nested email attachment (message/rfc822) and setting its content type to application/pdf, Thunderbird may incorrectly render it as HTML when opened, allowing the embedded JavaScript to run without requiring a file download. This behavior relies on Thunderbird auto-saving the attachment to /tmp and linking to it via the file:/// protocol, potentially enabling JavaScript execution as part of the HTML. This vulnerability was fixed in Thunderbird 128.10.1 and Thunderbird 138.0.1.