Aktywnie wykorzystywana w atakach
RoundCube Webmail Cross-Site Scripting Vulnerability
Roundcube - Webmail · Figuruje w katalogu CISA KEV od 2025-06-09. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
CVE-2024-42009
KrytyczneCVSS 9.3KEVStreszczenie
Podatność Cross-Site Scripting w Roundcube do wersji 1.5.7 i 1.6.x do 1.6.7 pozwala zdalnemu atakującemu na kradzież i wysyłanie wiadomości e-mail ofiary poprzez spreparowaną wiadomość, wykorzystującą problem desanityzacji w message_body() w program/actions/mail/show.php.
Ocena ryzyka
Atakujący może przejąć kontrolę nad kontem e-mail ofiary, kradnąć i wysyłać wiadomości w jej imieniu, co prowadzi do naruszenia poufności i reputacji.
Rekomendacja
Zaktualizuj Roundcube do wersji 1.5.8 lub 1.6.8 (lub nowszej), które naprawiają tę podatność.
Inne podatności w Roundcube
Zobacz wszystkie- CVE-2016-9920Wysokie
W wersjach Roundcube przed 1.1.7 oraz 1.2.x przed 1.2.3, brak odpowiedniej konfiguracji serwera SMTP i włączenie programu sendmail pozwala na nieprawidłowe ograniczenie użycia niestandardowych adresów envelope-from w linii poleceń sendmail. To umożliwia zdalnym uwierzytelnionym użytkownikom wykonanie dowolnego kodu poprzez zmodyfikowane żądanie HTTP, które wysyła spreparowaną wiadomość e-mail.
- CVE-2015-8770Wysokie
Podatność typu directory traversal w funkcji set_skin w pliku rcmail_output_html.php w Roundcube przed wersją 1.0.8 oraz 1.1.x przed wersją 1.1.4 umożliwia zdalnym uwierzytelnionym użytkownikom z określonymi uprawnieniami odczyt dowolnych plików lub potencjalne wykonanie dowolnego kodu poprzez wykorzystanie parametru _skin z sekwencją .. (kropka kropka) w index.php.
- CVE-2021-44026KrytyczneAktywnie exploitowane
Roundcube w wersjach przed 1.3.17 oraz 1.4.x przed 1.4.12 jest podatny na potencjalną iniekcję SQL poprzez parametr search lub search_params. Luka może pozwolić atakującemu na manipulację zapytaniami do bazy danych.
- CVE-2026-48846Średnie
W Roundcube Webmail w wersjach 1.6.x przed 1.6.16 oraz 1.7.x przed 1.7.1 funkcja blokowania zdalnych obrazów może zostać ominięta poprzez spreparowaną wartość CSS var() w wiadomości e-mail, co może prowadzić do ujawnienia informacji lub ominięcia kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
A Cross-Site Scripting vulnerability in Roundcube through 1.5.7 and 1.6.x through 1.6.7 allows a remote attacker to steal and send emails of a victim via a crafted e-mail message that abuses a Desanitization issue in message_body() in program/actions/mail/show.php.