Vulnerabilidad en Thunderbird (CVE-2025-3877)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-200 Revelación de información

Fecha de publicación:

14/05/2025

Última modificación:

11/06/2025

Descripción

Un correo electrónico HTML manipulado que utiliza enlaces mailbox:/// puede desencadenar descargas automáticas no solicitadas de archivos .pdf al escritorio o directorio personal del usuario sin previo aviso, incluso con el guardado automático desactivado. Este comportamiento puede utilizarse para llenar el disco con datos innecesarios (p. ej., usando /dev/urandom en Linux) o para filtrar credenciales de Windows mediante enlaces SMB al visualizar el correo electrónico en modo HTML. Si bien se requiere la interacción del usuario para descargar el archivo .pdf, la ofuscación visual puede ocultar el desencadenador de la descarga. Ver el correo electrónico en modo HTML es suficiente para cargar contenido externo. Esta vulnerabilidad afecta a Thunderbird (versión anterior a la 128.10.1) y Thunderbird (versión anterior a la 138.0.1).

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:L CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.40 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:L

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Bajo

Puntuación base 3.x

5.40

Gravedad 3.x

MEDIA

Vulnerabilidad en Thunderbird (CVE-2025-3877)

Descripción

Impacto

Referencias a soluciones, herramientas e información