r3m0t3nu11/cve-2025-1015Ein Angreifer kann ein Adressbuch erstellen und exportieren, das in einem Feld einen schädlichen Payload enthält. Zum Beispiel im Feld „Andere“ des Abschnitts „Instant Messaging“. Wenn ein anderer Benutzer das Adressbuch importiert, kann das Klicken auf den Link zum Öffnen einer Webseite in Thunderbird führen, und diese Seite könnte (nicht privilegiertes) JavaScript ausführen.
CVE-2025-1015: Das Thunderbird-Adressbuch enthält nicht bereinigte URI-Felder, die von Angreifern ausgenutzt werden könnten. Durch das Erstellen eines Adressbuchs mit bösartigen Links könnte ein Angreifer einen anderen Benutzer dazu verleiten, das kompromittierte Adressbuch zu importieren. Wenn der Benutzer auf den nicht bereinigten Link in Thunderbird klickt, könnte dies zur beliebigen Ausführung von nicht privilegiertem JavaScript in einer im Thunderbird-Client geöffneten Webseite führen. Dies birgt erhebliche Sicherheitsrisiken, da es Angreifern ermöglichen könnte, Benutzersitzungen zu manipulieren oder vertrauliche Informationen zu stehlen.
