远程 Debian 11 主机上存在安装的程序包，该程序包受到 DLA-4604 公告中提及的多个漏洞的影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4604-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2026 年 5 月 28 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：roundcube 版本：+ 1.4.15dfsg.1-1+deb11u9 CVE ID： CVE-2026-48842 CVE-2026-48843 CVE-2026-48844 CVE-2026-48845 CVE-2026-48846 CVE-2026-48847 CVE-2026-48848 CVE-2026-48849 Debian 缺陷：1132838 1137507

    在 IMAP 服务器基于 AJAX 的可换肤 webmail 解决方案 Roundcube 中发现多个漏洞，可导致跨站脚本、SQL 注入、服务器端请求伪造、信息泄露、代码注入或任意文件删除。

    CVE-2026-48842

        通过“preg_replace（）”反斜线转义绕过“virtuser_query”插件中的预认证 SQL 注入。

    CVE-2026-48843

       通过特定本地地址 URL 的样式表链接造成的服务器端请求伪造 （SSRF） 漏洞。此问题源自于对 . CVE-2026-35540的修复不充分。

    CVE-2026-48844

        通过 LDAP 的“autovalues”选项中的代码评估支持造成的代码注入漏洞。此更新中已删除代码评估支持。

    CVE-2026-48845

        不允许使用远程资源时的本地/私有 URL 获取绕过。这允许攻击者绕过远程图像阻止，从而可能绕过访问控制。

    CVE-2026-48846

        通过 CSS“var（）”绕过远程图像阻断。这允许攻击者绕过远程图像阻止以跟踪电子邮件打开操作，或者可能绕过访问控制。

    CVE-2026-48847

        通过 redis/memcache 会话毒化绕过进行预先认证的任意文件删除。

    CVE-2026-48848

        通过 SVG“<animate attributeName=style>”在 HTML 审查器中发生 CSS 注入绕过。

    CVE-2026-48849

        在草稿还原对话框的主题字段中存储了 XSS/HTML/CSS 注入。

    对于 Debian 11 bullseye，这些问题已在 +dfsg.1-1+deb11u9 版本 1.4.15中修复。

    建议您升级 roundcube 程序包。

    如需了解 roundcube 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/roundcube

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Debian DLA-4604：roundcube - 安全更新

medium Nessus 插件 ID 317444

版本 1.1