Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 在設定帳戶時，Thunderbird 的 Exchange 自動探索查詢也會透過純 HTTP 查詢網域的自動探索服務。由於錯誤，該未加密的要求包含使用者輸入的憑證，因此網路攻擊者能夠取得使用者的密碼。已在 Thunderbird 158.0.1 和 Thunderbird 153.5.1 中修正此弱點。(CVE-2026-113866)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

遠端 macOS 或 Mac OS X 主機上安裝的 Thunderbird 版本比 153.5.1 版舊。因此，它會受到 mfsa2026-115 公告中提及的多個弱點影響。

  - Mozilla 於 10 月 17 日透過 OneCRL 封鎖了受損的中間 eMudhra 憑證，該憑證於同一天透過 RemoteSettings 分發給用戶端。此更新包含更新的 OneCRL 封鎖清單，確保用戶端會封鎖遭入侵的憑證，即使原則停用 RemoteSettings 或在使用者的網路環境中無法使用。（CVE-2026-113470）

  - 在設定帳戶時，Thunderbird 的 Exchange 自動探索查詢也會透過純 HTTP 查詢網域的自動探索服務。由於錯誤，該未加密的要求包含使用者輸入的憑證，因此網路攻擊者能夠取得使用者的密碼。（CVE-2026-113866）

  - Thunderbird 在序列化傳出的 XMPP 段落時，沒有逸出屬性值。由於傳入請求的值會在自動回覆中回應，因此遠端 XMPP 使用者可能會傳送特製的請求，導致 Thunderbird 將任意節插入使用者的連線，然後伺服器會像使用者發送一樣處理這些請求。這可用來代表使用者傳送訊息或變更連絡人和訂閱設定，而不需要任何互動。此錯誤僅影響 Thunderbird 與 XMPP 帳戶的聊天功能。（CVE-2026-113867）

  - 使用 NTLM 對 POP3 或 SMTP 伺服器進行驗證時，Thunderbird 不會檢查伺服器的挑戰是否為有效的 base64。惡意伺服器可能會傳送挑戰，導致 Thunderbird 在其 NTLM 回應中包含未初始化的堆積記憶體，並將該記憶體洩露給伺服器。僅由 base64 填充組成的挑戰也導致了越界讀取，導致 Thunderbird 崩潰。這會影響設定為使用 NTLM 或 GSSAPI 驗證的帳戶。未初始化的記憶體洩漏只會影響 NTLM。（CVE-2026-113868）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Windows 主機上安裝的 Thunderbird 為 158.0.1 之前版本。因此，它會受到 mfsa2026-114 公告中提及的多個弱點的影響。

  - Mozilla 於 10 月 17 日透過 OneCRL 封鎖了受損的中間 eMudhra 憑證，該憑證於同一天透過 RemoteSettings 分發給用戶端。此更新包含更新的 OneCRL 封鎖清單，確保用戶端會封鎖遭入侵的憑證，即使原則停用 RemoteSettings 或在使用者的網路環境中無法使用。（CVE-2026-113470）

  - 在設定帳戶時，Thunderbird 的 Exchange 自動探索查詢也會透過純 HTTP 查詢網域的自動探索服務。由於錯誤，該未加密的要求包含使用者輸入的憑證，因此網路攻擊者能夠取得使用者的密碼。（CVE-2026-113866）

  - Thunderbird 在序列化傳出的 XMPP 段落時，沒有逸出屬性值。由於傳入請求的值會在自動回覆中回應，因此遠端 XMPP 使用者可能會傳送特製的請求，導致 Thunderbird 將任意節插入使用者的連線，然後伺服器會像使用者發送一樣處理這些請求。這可用來代表使用者傳送訊息或變更連絡人和訂閱設定，而不需要任何互動。此錯誤僅影響 Thunderbird 與 XMPP 帳戶的聊天功能。（CVE-2026-113867）

  - 使用 NTLM 對 POP3 或 SMTP 伺服器進行驗證時，Thunderbird 不會檢查伺服器的挑戰是否為有效的 base64。惡意伺服器可能會傳送挑戰，導致 Thunderbird 在其 NTLM 回應中包含未初始化的堆積記憶體，並將該記憶體洩露給伺服器。僅由 base64 填充組成的挑戰也導致了越界讀取，導致 Thunderbird 崩潰。這會影響設定為使用 NTLM 或 GSSAPI 驗證的帳戶。未初始化的記憶體洩漏只會影響 NTLM。（CVE-2026-113868）

  - 當 Thunderbird 在解密 S/MIME 訊息時要求輸入安全性裝置密碼 （例如智慧卡 PIN 碼或主要密碼），訊息載入可能會在提示開啟時完成或取消。這會在訊息解碼器仍在使用時釋放訊息解碼器，導致釋放後使用和潛在可利用的當機。（CVE-2026-113869）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Windows 主機上安裝的 Thunderbird 為 153.5.1 之前版本。因此，它會受到 mfsa2026-115 公告中提及的多個弱點影響。

  - Mozilla 於 10 月 17 日透過 OneCRL 封鎖了受損的中間 eMudhra 憑證，該憑證於同一天透過 RemoteSettings 分發給用戶端。此更新包含更新的 OneCRL 封鎖清單，確保用戶端會封鎖遭入侵的憑證，即使原則停用 RemoteSettings 或在使用者的網路環境中無法使用。（CVE-2026-113470）

  - 在設定帳戶時，Thunderbird 的 Exchange 自動探索查詢也會透過純 HTTP 查詢網域的自動探索服務。由於錯誤，該未加密的要求包含使用者輸入的憑證，因此網路攻擊者能夠取得使用者的密碼。（CVE-2026-113866）

  - Thunderbird 在序列化傳出的 XMPP 段落時，沒有逸出屬性值。由於傳入請求的值會在自動回覆中回應，因此遠端 XMPP 使用者可能會傳送特製的請求，導致 Thunderbird 將任意節插入使用者的連線，然後伺服器會像使用者發送一樣處理這些請求。這可用來代表使用者傳送訊息或變更連絡人和訂閱設定，而不需要任何互動。此錯誤僅影響 Thunderbird 與 XMPP 帳戶的聊天功能。（CVE-2026-113867）

  - 使用 NTLM 對 POP3 或 SMTP 伺服器進行驗證時，Thunderbird 不會檢查伺服器的挑戰是否為有效的 base64。惡意伺服器可能會傳送挑戰，導致 Thunderbird 在其 NTLM 回應中包含未初始化的堆積記憶體，並將該記憶體洩露給伺服器。僅由 base64 填充組成的挑戰也導致了越界讀取，導致 Thunderbird 崩潰。這會影響設定為使用 NTLM 或 GSSAPI 驗證的帳戶。未初始化的記憶體洩漏只會影響 NTLM。（CVE-2026-113868）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 macOS 或 Mac OS X 主機上安裝的 Thunderbird 版本比 158.0.1 版舊。因此，它會受到 mfsa2026-114 公告中提及的多個弱點的影響。

  - Mozilla 於 10 月 17 日透過 OneCRL 封鎖了受損的中間 eMudhra 憑證，該憑證於同一天透過 RemoteSettings 分發給用戶端。此更新包含更新的 OneCRL 封鎖清單，確保用戶端會封鎖遭入侵的憑證，即使原則停用 RemoteSettings 或在使用者的網路環境中無法使用。（CVE-2026-113470）

  - 在設定帳戶時，Thunderbird 的 Exchange 自動探索查詢也會透過純 HTTP 查詢網域的自動探索服務。由於錯誤，該未加密的要求包含使用者輸入的憑證，因此網路攻擊者能夠取得使用者的密碼。（CVE-2026-113866）

  - Thunderbird 在序列化傳出的 XMPP 段落時，沒有逸出屬性值。由於傳入請求的值會在自動回覆中回應，因此遠端 XMPP 使用者可能會傳送特製的請求，導致 Thunderbird 將任意節插入使用者的連線，然後伺服器會像使用者發送一樣處理這些請求。這可用來代表使用者傳送訊息或變更連絡人和訂閱設定，而不需要任何互動。此錯誤僅影響 Thunderbird 與 XMPP 帳戶的聊天功能。（CVE-2026-113867）

  - 使用 NTLM 對 POP3 或 SMTP 伺服器進行驗證時，Thunderbird 不會檢查伺服器的挑戰是否為有效的 base64。惡意伺服器可能會傳送挑戰，導致 Thunderbird 在其 NTLM 回應中包含未初始化的堆積記憶體，並將該記憶體洩露給伺服器。僅由 base64 填充組成的挑戰也導致了越界讀取，導致 Thunderbird 崩潰。這會影響設定為使用 NTLM 或 GSSAPI 驗證的帳戶。未初始化的記憶體洩漏只會影響 NTLM。（CVE-2026-113868）

  - 當 Thunderbird 在解密 S/MIME 訊息時要求輸入安全性裝置密碼 （例如智慧卡 PIN 碼或主要密碼），訊息載入可能會在提示開啟時完成或取消。這會在訊息解碼器仍在使用時釋放訊息解碼器，導致釋放後使用和潛在可利用的當機。（CVE-2026-113869）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
368983	Linux Distros 未修補弱點：CVE-2026-113866	Nessus	Misc.	2026/10/21	2026/10/22	medium
369495	Mozilla Thunderbird < 153.5.1	Nessus	MacOS X Local Security Checks	2026/10/21	2026/10/21	medium
369077	Mozilla Thunderbird < 158.0.1	Nessus	Windows	2026/10/21	2026/10/22	medium
369496	Mozilla Thunderbird < 153.5.1	Nessus	Windows	2026/10/21	2026/10/21	medium
369076	Mozilla Thunderbird < 158.0.1	Nessus	MacOS X Local Security Checks	2026/10/21	2026/10/22	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium