远程 Windows 主机上安装的 Thunderbird 版本低于 137.0.2。因此，该应用程序受到 mfsa2025-26 公告中提及的多个漏洞影响。

  - Thunderbird 会处理 X-Mozilla-External-Attachment-URL 标头，以处理可外部托管的附件。打开电子邮件时，Thunderbird 会访问指定的 URL 以确定文件大小，并在用户点击附件时导航至该 URL。由于未验证或清理 URL，它可以引用 chrome:// 或  SMB share file:// 链接等内部资源，从而可能导致哈希 Windows 凭据泄漏，并容易出现更严重的安全问题。
    (CVE-2025-3522)

  - 通过为多部分消息中的附件构建格式错误的文件名，攻击者可诱骗 Thunderbird 在将消息作为新消息转发或编辑时包含 /tmp 的目录列表。攻击者可利用此漏洞来泄露受害者系统中的敏感信息。此漏洞不限于 Linux 主机；在 Windows 主机中也发现了类似行为。
    (CVE-2025-2830)

  - 如果电子邮件包含多个通过 X-Mozilla-External-Attachment-URLheader 进行外部链接的附件，则将鼠标悬停在任何附件上时只会显示最后一个链接。尽管点击时使用了正确链接，但具有误导性的悬停文本可诱骗用户从不受信任的来源下载内容。
    (CVE-2025-3523)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Mozilla Thunderbird < 137.0.2

medium Nessus 插件 ID 234492

版本 1.2