CVE-2026-113867
XMPP チャットにおけるスタンザインジェクション
P1 CVSS最高 9.1
公式ソースで確認された事実（機械抽出）
| 公式説明（原文・英語） | Thunderbird did not escape attribute values when serializing outgoing XMPP stanzas. Because values from incoming requests were echoed back in automatic replies, a remote XMPP user could send a crafted request that caused Thunderbird to inject arbitrary stanzas into the user's connection, which the server would then process as if sent by the user. This could be used to send messages or change contact and subscription settings on behalf of the user, without any interaction. This bug only affects Thunderbird's chat feature with XMPP accounts. This vulnerability was fixed in Thunderbird 158.0.1 and Thunderbird 153.5.1. |
|---|---|
| 悪用状況 | 不明 |
| KEV（米CISA既知悪用脆弱性カタログ） | 未登録（確認 —）。KEV未掲載は「悪用されていない」ことを意味しません。 |
| CVSS評価 | 134c704f-9b21-4f2e-91b3-4a467353bcc0 CVSS 3.1: 9.1 134c704f-9b21-4f2e-91b3-4a467353bcc0: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N |
| EPSS（今後30日以内の悪用確率・FIRST） | — |
| 修正バージョン | 公表なし |
| 公表日 | 2026年10月21日 04:14 |
| 最終更新 | 2026年10月30日 04:17 |
| 最終確認 | 2026年10月30日 14:40 |
対象製品・バージョン
| 製品 | 影響バージョン | 修正バージョン | ベンダー修正済み | 利用者対応要否 |
|---|---|---|---|---|
| Mozilla Thunderbird | — | — | 未告知 | 未告知 |
「ベンダー修正済み」と「利用者対応要否」は別の事実として管理しています（ベンダー修正済みでも利用者側の更新が必要です）。
出典・根拠
AIによる補助要約
AIによる補助要約（誤りの可能性があります）。 自動生成された参考説明です。事実の数値・バージョンは上記「公式ソースで確認された事実」の機械抽出値が正です。出典は上記「03 出典・根拠」の公式リンクを参照してください。
- 概要
- Thunderbird は送信する XMPP スタンザの属性値をエスケープしていませんでした。自動返信で入力値がそのまま返されるため、リモートの XMPP ユーザーが細工したリクエストを送信することで、ユーザーの接続に任意のスタンザがインジェクションされるおそれがあります。
- 影響
- サーバーはそれをユーザーから送信されたものとして処理するため、ユーザーの操作なしにメッセージの送信や、連絡先およびサブスクリプション設定の変更に悪用される可能性があります。この不具合は XMPP アカウントを使用するチャット機能にのみ影響します。
- 対応
- ベンダーの指示に従い緩和策を適用。適用できない場合は製品の使用を中止。
- 留意点
- fixed_versions: 公式情報なし, exploitation: 公式情報なし