在 Round Cube Webmail（基于浏览器的多语 IMAP 客户端）对“data”和“vbscript”URL 执行审查的方式中发现跨站脚本 (XSS) 缺陷。远程攻击者可提供特别构建的 URL，打开时会导致任意 JavaScript、VisualBasic 脚本或 HTML 代码在 Round Cube Webmail 用户会话的上下文中执行。

上游票证：[1] http://trac.roundcube.net/ticket/1488850

更多详细信息：[2] http://trac.roundcube.net/attachment/ticket/1488850/RoundCube2XSS.pdf

上游修补程序：[3] https://github.com/roundcube/roundcubemail/commit/74cd0a9b62f11bc07c5a1d3ba0098b54883eb0ba

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

检测

Fedora 17：roundcubemail-0.8.5-1.fc17 (2013-2177)

medium Nessus 插件 ID 64676

未找到变更日志