CVE-2026-113866
Publiée le 2026-10-20 · Dernière modification le 2026-10-22
Les versions de Mozilla Thunderbird antérieures à 153.5.1 et 158.0.1 sont concernées. Ce client de messagerie utilise une fonctionnalité d'AutoDiscover pour trouver automatiquement les paramètres du serveur lorsqu'un utilisateur configure un compte Exchange. Un bug a entraîné l'envoi des identifiants de l'utilisateur via une connexion HTTP non chiffrée lors de ce processus de recherche.
Un attaquant positionné sur le même réseau peut capturer le mot de passe en texte clair, compromettant ainsi la confidentialité du compte de l'utilisateur. Cela ne nécessite ni authentification ni interaction de la part de l'utilisateur, mais l'exécution est difficile car l'attaquant doit être en mesure d'intercepter le trafic réseau précisément au moment où le compte est configuré.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
When setting up an account, Thunderbird's Exchange AutoDiscover lookup also queried the domain's AutoDiscover service over plain HTTP. Due to a bug, that unencrypted request included the credentials the user had entered, allowing a network attacker to obtain the user's password. This vulnerability was fixed in Thunderbird 158.0.1 and Thunderbird 153.5.1.