Roundcube · Webmail
CVE-2023-5631
Stored XSS vulnerability in Roundcube
Τι είναι
Roundcube before 1.4.15, 1.5.x before 1.5.5, and 1.6.x before 1.6.4 allows stored XSS via an HTML e-mail message with a crafted SVG document because of program/lib/Roundcube/rcube_washtml.php behavior. This could allow a remote attacker
to load arbitrary JavaScript code.
CISA: Roundcube Webmail contains a persistent cross-site scripting (XSS) vulnerability that allows a remote attacker to run malicious JavaScript code.
Τι να κάνετε
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
Προθεσμία για τις ομοσπονδιακές υπηρεσίες των ΗΠΑ: 16 Νοεμβρίου 2023
- Προστέθηκε στη λίστα της CISA
- 26 Οκτωβρίου 2023
- Δημοσιεύθηκε
- 18 Οκτωβρίου 2023
- Σοβαρότητα
- Μέτρια 6,1 CVSS 3.1
- Πιθανότητα επιθέσεων τις επόμενες 30 ημέρες (EPSS)
- 76% στο κορυφαίο 0,5% όλων των γνωστών ευπαθειών
- Τύπος αδυναμίας
- CWE-79
- Περισσότερες λεπτομέρειες
- NVD · CVE.org · CISA
Όλες οι πηγές (15)
- https://github.com/roundcube/roundcubemail/commit/6ee6e7ae301e165e2b2cb703edf75552e5376613
- https://github.com/roundcube/roundcubemail/releases/tag/1.6.4
- https://github.com/roundcube/roundcubemail/releases/tag/1.5.5
- https://github.com/roundcube/roundcubemail/releases/tag/1.4.15
- https://github.com/roundcube/roundcubemail/issues/9168
- https://roundcube.net/news/2023/10/16/security-update-1.6.4-released
- https://github.com/roundcube/roundcubemail/commit/41756cc3331b495cc0b71886984474dc529dd31d
- https://roundcube.net/news/2023/10/16/security-updates-1.5.5-and-1.4.15
- https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=1054079
- https://www.debian.org/security/2023/dsa-5531
- https://lists.debian.org/debian-lts-announce/2023/10/msg00035.html
- http://www.openwall.com/lists/oss-security/2023/11/01/1
- http://www.openwall.com/lists/oss-security/2023/11/01/3
- https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/LK67Q46OIEGJCR…
- http://www.openwall.com/lists/oss-security/2023/11/17/2
Περισσότερα κενά ασφαλείας της Roundcube που αξιοποιούνται
| Προστέθηκε | Ευπάθεια | Προϊόν | Σοβαρότητα | Πιθανότητα επίθεσης |
|---|---|---|---|---|
| 20 Φεβ 2026 | Deserialization of Untrusted Data | Webmail | Κρίσιμη 9,9 | 99,7% |
| 20 Φεβ 2026 | Cross-site Scripting | Webmail | Υψηλή 7,2 | 27% |
| 9 Ιουν 2025 | Cross-Site Scripting | Webmail | Κρίσιμη 9,3 | 83% |
| 24 Οκτ 2024 | Cross-Site Scripting (XSS) | Webmail | Μέτρια 6,1 | 74% |
| 26 Ιουν 2024 | Cross-Site Scripting (XSS) | Webmail | Μέτρια 6,3 | 77% |
| 12 Φεβ 2024 | Persistent Cross-Site Scripting (XSS) | Webmail | Μέτρια 6,1 | 64% |
| 22 Ιουν 2023 | Webmail Remote Code Execution | Roundcube Webmail | Κρίσιμη 9,8 | 84% |
| 22 Ιουν 2023 | Webmail Cross-Site Scripting (XSS) | Roundcube Webmail | Μέτρια 6,1 | 33% |
Πηγές: Known Exploited Vulnerabilities (CISA, δημόσιος τομέας), CVE records (cve.org) και EPSS (FIRST). Η πιθανότητα επίθεσης είναι η εκτίμηση EPSS ότι κάποιος θα προσπαθήσει να εκμεταλλευτεί το κενό τις επόμενες 30 ημέρες.