Roundcube · Webmail
CVE-2020-13965
Roundcube Webmail Cross-Site Scripting (XSS) Vulnerability
已被用于攻击
中 6.3 受攻击概率：77%
这是什么
An issue was discovered in Roundcube Webmail before 1.3.12 and 1.4.x before 1.4.5. There is XSS via a malicious XML attachment because text/xml is among the allowed types for a preview.
CISA: Roundcube Webmail contains a cross-site scripting (XSS) vulnerability that allows a remote attacker to manipulate data via a malicious XML attachment.
该怎么做
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
美国联邦机构的修复期限：2024年7月17日
- 加入 CISA 列表
- 2024年6月26日
- 发布日期
- 2020年6月9日
- 严重程度
- 中 6.3 CVSS 3.1
- 未来 30 天遭受攻击的概率（EPSS）
- 77% 位列所有已知漏洞的前 0.5%
- 弱点类型
- CWE-80
- 更多详情
- NVD · CVE.org · CISA
全部参考链接（9）
- https://www.debian.org/security/2020/dsa-4700
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/DLESQ4LPJGMS…
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/ODPJXBHZ32QS…
- https://github.com/roundcube/roundcubemail/releases/tag/1.4.5
- https://github.com/roundcube/roundcubemail/releases/tag/1.3.12
- https://github.com/roundcube/roundcubemail/commit/884eb611627ef2bd5a2e20e02009ebb1eceecdc3
- https://github.com/roundcube/roundcubemail/compare/1.4.4...1.4.5
- https://roundcube.net/news/2020/06/02/security-updates-1.4.5-and-1.3.12
- https://github.com/DrunkenShells/Disclosures/tree/master/CVE-2020-13965-Cross%20Site-Scripting%20via%20Malici…
Roundcube 的其他被利用漏洞
| 加入日期 | 漏洞 | 产品 | 严重程度 | 受攻击概率 |
|---|---|---|---|---|
| 2026年2月20日 | Deserialization of Untrusted Data | Webmail | 严重 9.9 | 99.7% |
| 2026年2月20日 | Cross-site Scripting | Webmail | 高 7.2 | 27% |
| 2025年6月9日 | Cross-Site Scripting | Webmail | 严重 9.3 | 83% |
| 2024年10月24日 | Cross-Site Scripting (XSS) | Webmail | 中 6.1 | 74% |
| 2024年2月12日 | Persistent Cross-Site Scripting (XSS) | Webmail | 中 6.1 | 64% |
| 2023年10月26日 | Persistent Cross-Site Scripting (XSS) | Webmail | 中 6.1 | 76% |
| 2023年6月22日 | Webmail Remote Code Execution | Roundcube Webmail | 严重 9.8 | 84% |
| 2023年6月22日 | Webmail Cross-Site Scripting (XSS) | Roundcube Webmail | 中 6.1 | 33% |
来源：Known Exploited Vulnerabilities（CISA，公有领域）、CVE records（cve.org）和 EPSS（FIRST）。受攻击概率是 EPSS 对未来 30 天内有人尝试利用该漏洞的估计。