Roundcube · Roundcube Webmail
CVE-2020-35730
Roundcube Webmail Cross-Site Scripting (XSS) Vulnerability
چیست
An XSS issue was discovered in Roundcube Webmail before 1.2.13, 1.3.x before 1.3.16, and 1.4.x before 1.4.10. The attacker can send a plain text e-mail message, with JavaScript in a link reference element that is mishandled by linkref_addindex in rcube_string_replacer.php.
CISA: Roundcube Webmail contains a cross-site scripting (XSS) vulnerability that allows an attacker to send a plain text e-mail message with Javascript in a link reference element that is mishandled by linkref_addinindex in rcube_string_replacer.php.
چه باید کرد
Apply updates per vendor instructions.
مهلت برای نهادهای فدرال آمریکا: ۱۳ ژوئیهٔ ۲۰۲۳
- افزوده‌شده به فهرست CISA
- ۲۲ ژوئن ۲۰۲۳
- منتشرشده
- ۲۸ دسامبر ۲۰۲۰
- شدت
- متوسط ۶٫۱ CVSS 3.1
- احتمال حمله در ۳۰ روز آینده (EPSS)
- ۳۳% در ۱٫۷% بالای همهٔ آسیب‌پذیری‌های شناخته‌شده
- نوع ضعف
- CWE-79
- جزئیات بیشتر
- NVD · CVE.org · CISA
همهٔ منابع (9)
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/HMLIZWKMTRCL…
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/HCEU4BM5WGID…
- https://roundcube.net/download/
- https://github.com/roundcube/roundcubemail/compare/1.4.9...1.4.10
- https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=978491
- https://www.alexbirnberg.com/roundcube-xss.html
- https://github.com/roundcube/roundcubemail/releases/tag/1.4.10
- https://github.com/roundcube/roundcubemail/releases/tag/1.3.16
- https://github.com/roundcube/roundcubemail/releases/tag/1.2.13
آسیب‌پذیری‌های دیگر Roundcube که مورد سوءاستفاده‌اند
| افزوده‌شده | آسیب‌پذیری | محصول | شدت | احتمال حمله |
|---|---|---|---|---|
| ۲۲ ژوئن ۲۰۲۳ | Webmail Remote Code Execution | Roundcube Webmail | بحرانی ۹٫۸ | ۸۴% |
| ۲۲ ژوئن ۲۰۲۳ | Webmail SQL Injection | Roundcube Webmail | بحرانی ۹٫۸ | ۷۰% |
| ۳ نوامبر ۲۰۲۱ | Webmail File Disclosure | Roundcube Webmail | بالا ۷٫۸ | ۴۶% |
| ۲۰ فوریه ۲۰۲۶ | Deserialization of Untrusted Data | Webmail | بحرانی ۹٫۹ | ۹۹٫۷% |
| ۲۰ فوریه ۲۰۲۶ | Cross-site Scripting | Webmail | بالا ۷٫۲ | ۲۷% |
| ۹ ژوئن ۲۰۲۵ | Cross-Site Scripting | Webmail | بحرانی ۹٫۳ | ۸۳% |
| ۲۴ اکتبر ۲۰۲۴ | Cross-Site Scripting (XSS) | Webmail | متوسط ۶٫۱ | ۷۴% |
| ۲۶ ژوئن ۲۰۲۴ | Cross-Site Scripting (XSS) | Webmail | متوسط ۶٫۳ | ۷۷% |
منابع: Known Exploited Vulnerabilities (CISA، مالکیت عمومی)، CVE records (cve.org) و EPSS (FIRST). احتمال حمله برآورد EPSS از این است که کسی در ۳۰ روز آینده برای سوءاستفاده از این آسیب‌پذیری تلاش کند.