Aktywnie wykorzystywana w atakach
Roundcube Webmail Persistent Cross-Site Scripting (XSS) Vulnerability
Roundcube - Webmail · Figuruje w katalogu CISA KEV od 2024-02-12. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
CVE-2023-43770
ŚrednieCVSS 6.1KEVStreszczenie
Podatność XSS w Roundcube przed wersjami 1.4.14, 1.5.4 i 1.6.3, umożliwiająca atakującemu wykonanie skryptów w przeglądarce ofiary poprzez wiadomości e-mail text/plain z spreparowanymi linkami.
Ocena ryzyka
Ryzyko kradzieży danych, przejęcia sesji lub wykonania nieautoryzowanych działań w kontekście konta użytkownika Roundcube.
Rekomendacja
Zaktualizuj Roundcube do wersji 1.4.14, 1.5.4 lub 1.6.3 lub nowszej, która zawiera poprawkę.
Inne podatności w Roundcube
Zobacz wszystkie- CVE-2016-9920Wysokie
W wersjach Roundcube przed 1.1.7 oraz 1.2.x przed 1.2.3, brak odpowiedniej konfiguracji serwera SMTP i włączenie programu sendmail pozwala na nieprawidłowe ograniczenie użycia niestandardowych adresów envelope-from w linii poleceń sendmail. To umożliwia zdalnym uwierzytelnionym użytkownikom wykonanie dowolnego kodu poprzez zmodyfikowane żądanie HTTP, które wysyła spreparowaną wiadomość e-mail.
- CVE-2015-8770Wysokie
Podatność typu directory traversal w funkcji set_skin w pliku rcmail_output_html.php w Roundcube przed wersją 1.0.8 oraz 1.1.x przed wersją 1.1.4 umożliwia zdalnym uwierzytelnionym użytkownikom z określonymi uprawnieniami odczyt dowolnych plików lub potencjalne wykonanie dowolnego kodu poprzez wykorzystanie parametru _skin z sekwencją .. (kropka kropka) w index.php.
- CVE-2024-42009KrytyczneAktywnie exploitowane
Podatność Cross-Site Scripting w Roundcube do wersji 1.5.7 i 1.6.x do 1.6.7 pozwala zdalnemu atakującemu na kradzież i wysyłanie wiadomości e-mail ofiary poprzez spreparowaną wiadomość, wykorzystującą problem desanityzacji w message_body() w program/actions/mail/show.php.
- CVE-2023-5631ŚrednieAktywnie exploitowane
Podatność XSS (przechowywany) w Roundcube przed wersjami 1.4.15, 1.5.5 i 1.6.4, umożliwiająca atakującemu zdalne wykonanie dowolnego kodu JavaScript poprzez wiadomość e-mail HTML z spreparowanym dokumentem SVG.
- CVE-2021-44026KrytyczneAktywnie exploitowane
Roundcube w wersjach przed 1.3.17 oraz 1.4.x przed 1.4.12 jest podatny na potencjalną iniekcję SQL poprzez parametr search lub search_params. Luka może pozwolić atakującemu na manipulację zapytaniami do bazy danych.
- CVE-2026-48846Średnie
W Roundcube Webmail w wersjach 1.6.x przed 1.6.16 oraz 1.7.x przed 1.7.1 funkcja blokowania zdalnych obrazów może zostać ominięta poprzez spreparowaną wartość CSS var() w wiadomości e-mail, co może prowadzić do ujawnienia informacji lub ominięcia kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
Roundcube before 1.4.14, 1.5.x before 1.5.4, and 1.6.x before 1.6.3 allows XSS via text/plain e-mail messages with crafted links because of program/lib/Roundcube/rcube_string_replacer.php behavior.