Os campos URI do Catálogo de Endereços do Thunderbird continham links não sanitizados, que poderiam ser usados por um atacante para criar e exportar um catálogo de endereços contendo uma carga maliciosa em um campo, como o campo "Outro" da seção de Mensagens Instantâneas. Se outro usuário importasse o catálogo de endereços, clicar no link poderia resultar na abertura de uma página web dentro do Thunderbird, e essa página poderia executar JavaScript sem privilégios.