远程 Windows 主机上安装的 Thunderbird 版本低于 153.5.1。因此，如公告 mfsa2026-115 所述，受到多个漏洞的影响。

  - Mozilla 于 10 月 17 日通过 OneCRL 阻止了受影响的中间 eMudhra 证书，这些证书于当天通过 RemoteSettings 分发给客户端。此更新包含更新后的 OneCRL 阻止列表，确保即使 RemoteSettings 被策略禁用或在用户的网络环境中不可用，客户端也将阻止受破坏的证书。（CVE-2026-113470）

  - 在设置帐户时，Thunderbird 的 Exchange 自动发现查找还通过普通 HTTP 查询域的自动发现服务。由于存在漏洞，该未加密请求包含了用户输入的凭据，从而允许网络攻击者获取用户的密码。（CVE-2026-113866）

  - Thunderbird 在序列化传出的 XMPP stanza 时未转义属性值。由于来自传入请求的值在自动回复中得到了响应，因此远程 XMPP 用户可发送构建的请求，导致 Thunderbird 向用户的连接中注入任意节，然后服务器会像用户发送的一样处理该节。这可用于代表用户发送消息或更改联系人和订阅设置，而无需任何交互。此缺陷仅影响 Thunderbird 与 XMPP 帐户的聊天功能。（CVE-2026-113867）

  - 使用 NTLM 对 POP3 或 SMTP 服务器进行身份验证时，Thunderbird 未检查服务器的质询是否为有效的 base64。恶意服务器可发送质询，导致 Thunderbird 在其 NTLM 响应中包含未初始化的堆内存，从而将该内存泄露给服务器。仅包含 base64 填充的质询也会造成越界读取，进而使 Thunderbird 崩溃。这会影响配置为使用 NTLM 或 GSSAPI 认证的帐户。未初始化的内存泄露仅影响 NTLM。（CVE-2026-113868）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 macOS 或 Mac OS X 主机上安装的 Thunderbird 版本低于 158.0.1。因此，如公告 mfsa2026-114 所述，受到多个漏洞的影响。

  - Mozilla 于 10 月 17 日通过 OneCRL 阻止了受影响的中间 eMudhra 证书，这些证书于当天通过 RemoteSettings 分发给客户端。此更新包含更新后的 OneCRL 阻止列表，确保即使 RemoteSettings 被策略禁用或在用户的网络环境中不可用，客户端也将阻止受破坏的证书。（CVE-2026-113470）

  - 在设置帐户时，Thunderbird 的 Exchange 自动发现查找还通过普通 HTTP 查询域的自动发现服务。由于存在漏洞，该未加密请求包含了用户输入的凭据，从而允许网络攻击者获取用户的密码。（CVE-2026-113866）

  - Thunderbird 在序列化传出的 XMPP stanza 时未转义属性值。由于来自传入请求的值在自动回复中得到了响应，因此远程 XMPP 用户可发送构建的请求，导致 Thunderbird 向用户的连接中注入任意节，然后服务器会像用户发送的一样处理该节。这可用于代表用户发送消息或更改联系人和订阅设置，而无需任何交互。此缺陷仅影响 Thunderbird 与 XMPP 帐户的聊天功能。（CVE-2026-113867）

  - 使用 NTLM 对 POP3 或 SMTP 服务器进行身份验证时，Thunderbird 未检查服务器的质询是否为有效的 base64。恶意服务器可发送质询，导致 Thunderbird 在其 NTLM 响应中包含未初始化的堆内存，从而将该内存泄露给服务器。仅包含 base64 填充的质询也会造成越界读取，进而使 Thunderbird 崩溃。这会影响配置为使用 NTLM 或 GSSAPI 认证的帐户。未初始化的内存泄露仅影响 NTLM。（CVE-2026-113868）

  - 当 Thunderbird 在解密 S/MIME 消息时要求输入安全设备密码（例如智能卡 PIN 或主密码）时，当提示打开时，消息加载可能完成或被取消。这会释放仍在使用中的消息解码器，造成释放后使用和潜在可利用的崩溃。（CVE-2026-113869）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在设置帐户时，Thunderbird 的 Exchange 自动发现查找还通过普通 HTTP 查询域的自动发现服务。由于存在漏洞，该未加密请求包含了用户输入的凭据，从而允许网络攻击者获取用户的密码。此漏洞已在 Thunderbird 158.0.1 和 Thunderbird 153.5.1 中修复。（CVE-2026-113866）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 macOS 或 Mac OS X 主机上安装的 Thunderbird 版本低于 153.5.1。因此，如公告 mfsa2026-115 所述，受到多个漏洞的影响。

  - Mozilla 于 10 月 17 日通过 OneCRL 阻止了受影响的中间 eMudhra 证书，这些证书于当天通过 RemoteSettings 分发给客户端。此更新包含更新后的 OneCRL 阻止列表，确保即使 RemoteSettings 被策略禁用或在用户的网络环境中不可用，客户端也将阻止受破坏的证书。（CVE-2026-113470）

  - 在设置帐户时，Thunderbird 的 Exchange 自动发现查找还通过普通 HTTP 查询域的自动发现服务。由于存在漏洞，该未加密请求包含了用户输入的凭据，从而允许网络攻击者获取用户的密码。（CVE-2026-113866）

  - Thunderbird 在序列化传出的 XMPP stanza 时未转义属性值。由于来自传入请求的值在自动回复中得到了响应，因此远程 XMPP 用户可发送构建的请求，导致 Thunderbird 向用户的连接中注入任意节，然后服务器会像用户发送的一样处理该节。这可用于代表用户发送消息或更改联系人和订阅设置，而无需任何交互。此缺陷仅影响 Thunderbird 与 XMPP 帐户的聊天功能。（CVE-2026-113867）

  - 使用 NTLM 对 POP3 或 SMTP 服务器进行身份验证时，Thunderbird 未检查服务器的质询是否为有效的 base64。恶意服务器可发送质询，导致 Thunderbird 在其 NTLM 响应中包含未初始化的堆内存，从而将该内存泄露给服务器。仅包含 base64 填充的质询也会造成越界读取，进而使 Thunderbird 崩溃。这会影响配置为使用 NTLM 或 GSSAPI 认证的帐户。未初始化的内存泄露仅影响 NTLM。（CVE-2026-113868）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Windows 主机上安装的 Thunderbird 版本低于 158.0.1。因此，如公告 mfsa2026-114 所述，受到多个漏洞的影响。

  - Mozilla 于 10 月 17 日通过 OneCRL 阻止了受影响的中间 eMudhra 证书，这些证书于当天通过 RemoteSettings 分发给客户端。此更新包含更新后的 OneCRL 阻止列表，确保即使 RemoteSettings 被策略禁用或在用户的网络环境中不可用，客户端也将阻止受破坏的证书。（CVE-2026-113470）

  - 在设置帐户时，Thunderbird 的 Exchange 自动发现查找还通过普通 HTTP 查询域的自动发现服务。由于存在漏洞，该未加密请求包含了用户输入的凭据，从而允许网络攻击者获取用户的密码。（CVE-2026-113866）

  - Thunderbird 在序列化传出的 XMPP stanza 时未转义属性值。由于来自传入请求的值在自动回复中得到了响应，因此远程 XMPP 用户可发送构建的请求，导致 Thunderbird 向用户的连接中注入任意节，然后服务器会像用户发送的一样处理该节。这可用于代表用户发送消息或更改联系人和订阅设置，而无需任何交互。此缺陷仅影响 Thunderbird 与 XMPP 帐户的聊天功能。（CVE-2026-113867）

  - 使用 NTLM 对 POP3 或 SMTP 服务器进行身份验证时，Thunderbird 未检查服务器的质询是否为有效的 base64。恶意服务器可发送质询，导致 Thunderbird 在其 NTLM 响应中包含未初始化的堆内存，从而将该内存泄露给服务器。仅包含 base64 填充的质询也会造成越界读取，进而使 Thunderbird 崩溃。这会影响配置为使用 NTLM 或 GSSAPI 认证的帐户。未初始化的内存泄露仅影响 NTLM。（CVE-2026-113868）

  - 当 Thunderbird 在解密 S/MIME 消息时要求输入安全设备密码（例如智能卡 PIN 或主密码）时，当提示打开时，消息加载可能完成或被取消。这会释放仍在使用中的消息解码器，造成释放后使用和潜在可利用的崩溃。（CVE-2026-113869）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
369496	Mozilla Thunderbird < 153.5.1	Nessus	Windows	2026/10/21	2026/10/21	medium
369076	Mozilla Thunderbird < 158.0.1	Nessus	MacOS X Local Security Checks	2026/10/21	2026/10/22	medium
368983	Linux Distros 未修补的漏洞：CVE-2026-113866	Nessus	Misc.	2026/10/21	2026/10/22	medium
369495	Mozilla Thunderbird < 153.5.1	Nessus	MacOS X Local Security Checks	2026/10/21	2026/10/21	medium
369077	Mozilla Thunderbird < 158.0.1	Nessus	Windows	2026/10/21	2026/10/22	medium

检测

插件搜索

medium

medium

medium

medium

medium