Система: Альт Образование 11.2, x86_64, KDE (Wayland), установка со всеми дополнительными приложениями. Версия пакета: thunderbird-152.0-alt1 Шаги воспроизведения: 1. Чистый профиль (~/.thunderbird нет, учётных записей нет). Запустить Thunderbird из меню. Мастер «Добавьте свой адрес эл. почты» закрыть нельзя (кнопки закрытия нет, Esc не действует), поэтому свернуть его кнопкой «Свернуть» в правом верхнем углу. 2. Открыть Адресную книгу (Ctrl+2 / Ctrl+Shift+B). 3. В левой панели нажать кнопку «Добавить адресную книгу» (значок слева от кнопки «Новый контакт»). Ожидаемый результат: Диалог создания адресной книги (локальная / CardDAV / LDAP), поле «Имя адресной книги». Фактический результат: Открывается мастер «Добро пожаловать в Thunderbird — Добавьте свой адрес эл. почты» (настройка почтовой учётной записи). Выбора типа адресной книги и ввода имени нет. Меню приложения → Создать содержит только «Сообщение» и «Контакт». Новую адресную книгу создать невозможно (3 из 3 попыток). Тот же мастер открывает пункт ≡ → «Добавить учётную запись» → «Адресная книга». Если в профиле есть учётная запись (например, лента новостей), кнопка открывает «Центр учётных записей → Добавить адресную книгу» с выбором локальной, CardDAV или LDAP. Дополнительно: Остальные функции адресной книги работают: контакт создаётся и сохраняется, поиск по «alt» во «Все адресные книги» находит запись, список рассылки создаётся (правка через «Изменить список»). coredumpctl и journalctl -p err пусты. Причина в апстриме: AccountHubController.open() (comm/mail/components/accountcreation/content/accountHub.js:273-277, ветка p11, 156.0) при свёрнутом хабе разворачивает его и не учитывает запрошенный тип ADDRESS_BOOK. В первом запуске кнопка закрытия скрыта (widgets/account-hub-header.mjs:93), поэтому хаб можно только свернуть. Апстрим: https://bugzilla.mozilla.org/show_bug.cgi?id=2063887 (REOPENED: исправление 6fbd84e82b12 влито 06.10.2026 и откачено 39a8d4fad7d7). Обходные пути: настроить любую учётную запись или задать mail.accounthub.addressbook.enabled=false (вернётся старое подменю «Добавить адресную книгу»; выведено из кода, на стенде не проверено). Вложения: - tb-addressbook-add-opens-account-wizard.png — после нажатия «Добавить адресную книгу» открыт мастер «Добавьте свой адрес эл. почты» вместо диалога адресной книги. - tb-addressbook-empty-before-click.png — состояние до нажатия: вкладка «Адресная книга» на чистом профиле (учётных записей нет).
Created attachment 22713 [details] после нажатия «Добавить адресную книгу» открыт мастер «Добавьте свой адрес эл. почты» вместо диалога адресной книги
Created attachment 22714 [details] состояние до нажатия: вкладка «Адресная книга» на чистом профиле (учётных записей нет)
thunderbird-158.0.1-alt1 -> p11: Thu Oct 22 2026 Ajrat Makhmutov <rauty@altlinux> 158.0.1-alt1 - New version. - Fix the selected calendar name turning invisible while the calendar deletion prompt is open (Closes: 57477). - Fix Add Address Book reopening the account setup on the first run without accounts (Closes: 61039). - Default the spellchecker dictionary to the interface language instead of English (Closes: 40015). - Fix black event and task description text in the dark theme (Closes: 61166). - Fixes: + CVE-2026-113866: Account password sent unencrypted during Exchange account setup + CVE-2026-113867: Stanza injection in XMPP chat + CVE-2026-113868: Uninitialized memory disclosure and out-of-bounds read in POP3 and SMTP NTLM authentication + CVE-2026-113869: Use-after-free in S/MIME decryption during a security device password prompt + CVE-2026-113399: Incorrect boundary conditions in the SVG component + CVE-2026-113470: Cryptographic issue in the Security Block-lists, Allow-lists, and other State component + CVE-2026-113400: Uninitialized memory in the Audio/Video: cubeb component + CVE-2026-113401: Denial-of-service in the PDF Viewer component Wed Oct 14 2026 Ajrat Makhmutov <rauty@altlinux> 158.0-alt1 - New version. - Fix emoji drawn in black and white when the system font is a fontconfig generic alias like Sans Serif (Closes: 60882). - Fixes: + CVE-2026-110247: Integer overflow in libmime buffer growth could lead to heap corruption + CVE-2026-110249: Denial-of-service in the Exchange email component + CVE-2026-109704: Privilege escalation in the Application Update component + CVE-2026-109705: Sandbox escape, site isolation issue due to incorrect boundary conditions, use-after-free in the Networking component + CVE-2026-109706: Use-after-free in the Storage: IndexedDB component + CVE-2026-109707: Sandbox escape due to use-after-free in the Networking component + CVE-2026-109708: Sandbox escape due to incorrect boundary conditions in the Networking component + CVE-2026-109709: Information disclosure, privilege escalation in the Security: Process Sandboxing component + CVE-2026-109710: Use-after-free in the Graphics: Text component + CVE-2026-109711: Use-after-free in the Graphics: Canvas2D component + CVE-2026-109712: Sandbox escape due to uninitialized memory in the Graphics component + CVE-2026-109713: Use-after-free in the Crash Reporting component + CVE-2026-109714: Incorrect boundary conditions in the Layout component + CVE-2026-109715: Incorrect boundary conditions in the JavaScript Engine component + CVE-2026-109716: Incorrect boundary conditions in the JavaScript Engine component + CVE-2026-109717: Use-after-free in the DOM: Bindings (WebIDL) component + CVE-2026-109718: Use-after-free in the XML component + CVE-2026-109719: Race condition, use-after-free in the Graphics: CanvasWebGL component + CVE-2026-109720: JIT miscompilation in the JavaScript: WebAssembly component + CVE-2026-109721: Incorrect boundary conditions in the JavaScript Engine: JIT component + CVE-2026-109722: JIT miscompilation in the JavaScript Engine: JIT component + CVE-2026-109723: Integer overflow in the Layout: Text and Fonts component + CVE-2026-109724: Use-after-free in the DOM: Core & HTML component + CVE-2026-109725: Use-after-free in the DOM: Core & HTML component + CVE-2026-109726: Use-after-free in the SVG component + CVE-2026-109727: Use-after-free in the Audio/Video component + CVE-2026-109728: Use-after-free in the DOM: Animation component + CVE-2026-109729: Use-after-free in the JavaScript Engine: JIT component + CVE-2026-109730: Integer overflow in the Graphics component + CVE-2026-109731: Incorrect boundary conditions in the Graphics: Canvas2D component + CVE-2026-109732: Use-after-free in the DOM: Streams component + CVE-2026-109733: JIT miscompilation in the JavaScript Engine: JIT component + CVE-2026-106016: Mitigation bypass in the File Handling component + CVE-2026-109734: Mitigation bypass in the DOM: Security component + CVE-2026-109735: Use-after-free in the DOM: Animation component + CVE-2026-109736: Frame poisoning in the Layout component + CVE-2026-109737: Mitigation bypass in the Enterprise Policies component + CVE-2026-109738: Use-after-free in the Audio/Video: Playback component + CVE-2026-109739: Privilege escalation in the WebExtensions component + CVE-2026-109740: Sandbox escape due to incorrect boundary conditions in the Widget: Win32 component + CVE-2026-109741: Use-after-free in the Storage: Bucket File System component + CVE-2026-109742: Information disclosure in the PDF Viewer component + CVE-2026-109743: Privilege escalation in the Panning and Zooming component + CVE-2026-109744: Other issue in the DOM: File component + CVE-2026-109745: Sandbox escape due to uninitialized memory in the DOM: Web Serial component + CVE-2026-109746: Mitigation bypass in the DOM: Security component + CVE-2026-109747: Other issue in the Address Bar component + CVE-2026-109748: Use-after-free in the JavaScript: WebAssembly component + CVE-2026-109749: Use-after-free in the JavaScript: WebAssembly component + CVE-2026-109750: Site isolation issue in the DOM: Web Authentication component + CVE-2026-109751: Information disclosure in the Networking component + CVE-2026-109752: Use-after-free in the DOM: Workers component + CVE-2026-109753: Incorrect boundary conditions in the Layout component + CVE-2026-109754: Incorrect boundary conditions in the DOM: Editor component + CVE-2026-109755: Sandbox escape in the DOM: Content Processes component + CVE-2026-109756: Privilege escalation in the DOM: Navigation component + CVE-2026-109757: Sandbox escape due to race condition in the Networking component + CVE-2026-109759: Site isolation issue in the Networking component + CVE-2026-109760: Mitigation bypass in the Networking: HTTP component + CVE-2026-109761: Use-after-free in the JavaScript: WebAssembly component + CVE-2026-109762: Incorrect boundary conditions in the SVG component + CVE-2026-109763: Mitigation bypass in the File Handling component + CVE-2026-109764: Mitigation bypass in the Enterprise Policies component + CVE-2026-109765: Race condition, use-after-free in the Graphics: Text component + CVE-2026-109766: Mitigation bypass in the Enterprise Policies component + CVE-2026-109767: Information disclosure in the Networking component + CVE-2026-109768: Denial-of-service in the Site Reports component + CVE-2026-109769: Information disclosure in the Networking: Cache component + CVE-2026-109770: Spoofing issue in the DOM: Web Serial component + CVE-2026-109771: Information disclosure in the WebRTC: Networking component + CVE-2026-109772: Same-origin policy bypass in the DevTools component + CVE-2026-109773: Denial-of-service in the Sync component + CVE-2026-109774: Invalid pointer, undefined behavior in the DOM: Notifications component + CVE-2026-109775: Denial-of-service in the WebRTC component + CVE-2026-109776: Race condition in the XPCOM component + CVE-2026-109777: Information disclosure in the Storage: IndexedDB component + CVE-2026-109778: Privilege escalation in the WebExtensions component + CVE-2026-109779: Race condition in the Networking: DNS component + CVE-2026-109780: Mitigation bypass in the DOM: Core & HTML component + CVE-2026-109781: Denial-of-service in the Printing: Output component
