There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - steps/mail/func.inc in Roundcube before 1.3.8 has XSS via crafted use of <svg><style>, as demonstrated by
    an onload attribute in a BODY element, within an HTML attachment. (CVE-2018-19206)

Aidan Marlin 發現，roundcube (一種適用於 IMAP 伺服器的 AJAX 型可換面板 webmail 解決方案) 在處理無效的樣式標籤內容時，容易發生跨網站指令碼弱點。

Aidan Marlin 发现，可定制皮肤的基于 AJAX 的 IMAP 服务器 webmail 解决方案 roundcube 在处理无效的样式标签内容时，容易受到跨站脚本漏洞攻击。

远程 Ubuntu 16.04 LTS/18.04 LTS 主机上安装的程序包受到 USN-8132-1 公告中提及的多个漏洞的影响。

    发现 Roundcube Webmail 未正确审查

    电子邮件正文中的某些 HTML 元素。攻击者可能

    可利用此问题造成跨站脚本攻击。此问题仅适用于

    已在 Ubuntu 16.04 LTS 中解决。CVE-2016-4068、 CVE-2016-4069

    发现 Roundcube Webmail 未能正确处理某些

    配置参数。攻击者可能利用此问题

    执行任意代码。这个问题只在 Ubuntu 16.04 LTS 中得到解决。

    (CVE-2016-9920)

    发现 Roundcube Webmail 未能正确审查 CSS 样式

    在 SVG 文档中。攻击者可能利用此问题造成

    跨站脚本攻击。这个问题只在 Ubuntu 16.04 LTS 中得到解决。(CVE-2017-6820)

    发现 Roundcube Webmail 未正确限制 中的 exec 调用

    密码插件的某些驱动程序。经过认证的用户可能

    利用此问题执行任意密码重置。仅在

    Ubuntu 16.04 LTS 上的 tomcat10，已修复此问题。(CVE-2017-8114)

    发现 Roundcube Webmail 未能正确设置 内的文件权限

    Enigma 插件。攻击者可能利用此问题来窃取 GPG 隐私

    密钥。 (CVE-2018-1000071)

    发现 Roundcube Webmail 未正确处理 GnuPG MDC

    完整性保护警告。攻击者可能利用此问题获取

    来自加密通信的敏感信息。 (CVE-2018-19205)

    据发现Roundcube Webmail 未正确审查 HTML 附件中的 <svg> 和 <style> 标签。攻击者可能利用此问题造成

    跨站脚本攻击。 (CVE-2018-19206)

    已发现 Roundcube Webmail 未正确处理部分加密的多部分消息。
    攻击者可能利用此问题造成

    通过电子邮件回复泄漏加密消息的明文。 (CVE-2019-10740)

    发现 Roundcube Webmail 未正确审查某个参数

    在 archive 插件中。攻击者可能利用此问题执行

    IMAP 注入攻击。这个问题只在 Ubuntu 16.04 LTS 中得到解决。(CVE-2018-9846)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Ubuntu 16.04 LTS/18.04 LTS 主機上安裝的套件受到 USN-8132-1 公告中所提及的多個弱點影響。

    發現 Roundcube Webmail 未正確清理

    電子郵件內文中的某些 HTML 元素。攻擊者可能

    利用此問題造成跨網站指令碼攻擊。此問題僅在

    已在 Ubuntu 16.04 LTS 中解決。 (CVE-2016-4068、 CVE-2016-4069)

    發現 Roundcube Webmail 並未正確處理

    組態參數。攻擊者可能會利用此問題

    執行任意程式碼。這個問題只在 Ubuntu 16.04 LTS 中獲得解決。

    (CVE-2016-9920)

    據發現Roundcube Webmail 未正確清理 CSS 樣式

    SVG 文件中的一個弱點。攻擊者可能會利用此問題

    跨網站指令碼攻擊。此問題僅在 Ubuntu 16.04 LTS 中得到了解決。(CVE-2017-6820)

    據發現Roundcube Webmail 未正確限制 中的 exec 呼叫

    password 外掛程式的某些驅動程式。經驗證的使用者可能

    利用此問題執行任意密碼重設。這個問題只在

    Ubuntu 16.04 LTS 中的 tomcat10 中修復。(CVE-2017-8114)

    據發現Roundcube Webmail 未在

    Enigma 外掛程式。攻擊者可能會利用此問題洩漏 GPG 私密

    透過網路連線建立金鑰。 (CVE-2018-1000071)

    發現 Roundcube Webmail 未正確處理 GnuPG MDC

    完整性保護警告。攻擊者可能會利用此問題取得

    加密通訊中的敏感資訊。 (CVE-2018-19205)

    據發現Roundcube Webmail 未正確清理 HTML 附件內的 <svg> 和 <style> 標籤。攻擊者可能會利用此問題造成

    跨網站指令碼攻擊。 (CVE-2018-19206)

    據發現Roundcube Webmail 未正確處理部分加密的 multipart 訊息。
    攻擊者可能會利用此問題

    透過電子郵件回覆洩漏加密訊息的純文字。 (CVE-2019-10740)

    據發現Roundcube Webmail 未正確清理特定參數

    封存外掛程式中。攻擊者可能會利用此問題執行

    IMAP 插入攻擊。此問題僅在 Ubuntu 16.04 LTS 中得到了解決。(CVE-2018-9846)

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

リモートの Ubuntu 16.04 LTS / 18.04 LTS ホストには、USN-8132-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Roundcube Webmail が適切にサニタイズしないことが発見されました。

    あることが判明されました。攻撃者が

    クロスサイトスクリプティング攻撃を引き起こすために、この問題を利用します。この問題は、

    Ubuntu 16.04 LTS で対処されました。CVE-2016-4068、 CVE-2016-4069

    Roundcube Webmail が特定の状況を適切に処理していないことが判明しました。

    構成パラメーター。攻撃者がこの問題を悪用して、

    任意のコードを実行したりする可能性があります。この問題は Ubuntu 16.04 LTS のみで対処されました。

    (CVE-2016-9920)

    Roundcube Webmail が CSS スタイルを適切にサニタイズしないことが発見されました

    SVG ドキュメント内で発見しました。攻撃者がこの問題を悪用して、

    クロスサイトスクリプティング攻撃が引き起こされる可能性があります。この問題は Ubuntu 16.04 LTS のみで対処されました。(CVE-2017-6820)

    Roundcube Webmail が exec 呼び出しを適切に制限していないことが判明しました。

    パスワードプラグインの特定のドライバーを対象としています。認証されたユーザーが、

    任意のパスワードのリセットを実行するのにこの問題を利用します。この問題は、

    Ubuntu 16.04 LTS のみです。(CVE-2017-8114)

    Roundcube Webmail がファイルの権限を適切に設定していないことが判明しました。

    Enigma プラグイン。攻撃者が、この問題を利用して、GPG をプライベートに抽出する可能性があります。

    ネットワーク接続を介してキーを実行する可能性があります。CVE-2018-1000071

    Roundcube Webmail が GnuPG MDC を適切に処理していないことが判明しました

    整合性保護の警告を表示します。攻撃者がこの問題を利用し、

    暗号化された通信からの機密情報を漏洩する可能性があります。CVE-2018-19205

    Roundcube Webmail が HTML 添付ファイル内の <svg> および <style> タグを適切にサニタイズしないことが発見されました。攻撃者がこの問題を悪用して、

    クロスサイトスクリプティング攻撃。CVE-2018-19206

    Roundcube Webmail が、部分的に暗号化されたマルチパートメッセージを適切に処理していないことが判明しました。
    攻撃者がこの問題を悪用して、

    電子メールの返信を介して、暗号化されたメッセージの平文が漏洩する脆弱性。CVE-2019-10740

    Roundcube Webmail が特定のパラメーターを適切にサニタイズしないことが判明しました

    可能性があります。攻撃者がこの問題を利用して、

    IMAP インジェクション攻撃この問題は Ubuntu 16.04 LTS のみで対処されました。(CVE-2018-9846)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Aidan Marlin氏は、IMAPサーバー用のスキン変更可能なAJAXベースのWebメールソリューションであるroundcubeが、無効なstyleタグコンテンツの処理におけるクロスサイトスクリプティング脆弱性の影響を受けやすいことを発見しました。

The remote Ubuntu 16.04 LTS / 18.04 LTS host has packages installed that are affected by multiple vulnerabilities as referenced in the USN-8132-1 advisory.

    It was discovered that Roundcube Webmail did not properly sanitize

    certain HTML elements within the e-mail body. An attacker could possibly

    use this issue to cause a cross-site scripting attack. This issue was only

    addressed in Ubuntu 16.04 LTS. (CVE-2016-4068, CVE-2016-4069)

    It was discovered that Roundcube Webmail did not properly handle certain

    configuration parameters. An attacker could possibly use this issue to

    execute arbitrary code. This issue was only addressed in Ubuntu 16.04 LTS.

    (CVE-2016-9920)

    It was discovered that Roundcube Webmail did not properly sanitize CSS styles

    within SVG documents. An attacker could possibly use this issue to cause

    a cross-site scripting attack. This issue was only addressed in Ubuntu 16.04 LTS. (CVE-2017-6820)

    It was discovered that Roundcube Webmail did not properly restrict exec call in

    certain drivers of the password plugin. An authenticated user could possibly

    use this issue to perform arbitrary password resets. This issue was only addressed in

    Ubuntu 16.04 LTS. (CVE-2017-8114)

    It was discovered that Roundcube Webmail did not properly set file permissions within

    the Enigma plugin. An attacker could possibly use this issue to exfiltrate GPG private

    keys via network connectivity. (CVE-2018-1000071)

    It was discovered that Roundcube Webmail did not properly handle GnuPG MDC

    integrity-protection warnings. An attacker could possibly use this issue to obtain

    sensitive information from encrypted communications. (CVE-2018-19205)

    It was discovered that Roundcube Webmail did not properly sanitize <svg> and <style> tags within HTML     attachments. An attacker could possibly use this issue to cause a

    cross-site scripting attack. (CVE-2018-19206)

    It was discovered that Roundcube Webmail did not properly handle partially encrypted multipart messages.
    An attacker could possibly use this issue to cause

    leaking of the plaintext of encrypted messages via an email reply. (CVE-2019-10740)

    It was discovered that Roundcube Webmail did not properly sanitize a certain parameter

    within the archive plugin. An attacker could possibly use this issue to perform an

    IMAP injection attack. This issue was only addressed in Ubuntu 16.04 LTS. (CVE-2018-9846)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

Aidan Marlin discovered that roundcube, a skinnable AJAX based webmail solution for IMAP servers, is prone to a cross-site scripting vulnerability in handling invalid style tag content.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
406940	Alpine: roundcubemail: security update to 1.3.8-r0	Tenable Cloud Security	Alpine Linux Local Security Checks	2023/10/31	2026/7/2	medium
406940	Alpine: roundcubemail: security update to 1.3.8-r0	Tenable Self-Hosted Container Security	Alpine Linux Local Security Checks	2023/10/31	2026/7/2	medium
400661	Alpine: roundcubemail: security update to 1.3.6-r2 (deprecated)	Tenable Cloud Security	Alpine Linux Local Security Checks	2023/8/16	2026/7/2	medium
400661	Alpine: roundcubemail: security update to 1.3.6-r2 (deprecated)	Tenable Self-Hosted Container Security	Alpine Linux Local Security Checks	2023/8/16	2026/7/2	medium
119125	Debian DSA-4344-1：roundcube - 安全性更新	Nessus	Debian Local Security Checks	2018/11/26	2024/7/19	medium
119125	Debian DSA-4344-1：roundcube - 安全更新	Nessus	Debian Local Security Checks	2018/11/26	2024/7/19	medium
304432	Ubuntu 16.04 LTS / 18.04 LTSRoundcube Webmail 漏洞 (USN-8132-1)	Nessus	Ubuntu Local Security Checks	2026/3/31	2026/4/30	high
304432	Ubuntu 16.04 LTS / 18.04 LTSRoundcube Webmail 弱點 (USN-8132-1)	Nessus	Ubuntu Local Security Checks	2026/3/31	2026/4/30	high
304432	Ubuntu 16.04 LTS / 18.04 LTSRoundcube Webmail の脆弱性USN-8132-1	Nessus	Ubuntu Local Security Checks	2026/3/31	2026/4/30	high
119125	Debian DSA-4344-1 : roundcube - セキュリティ更新	Nessus	Debian Local Security Checks	2018/11/26	2024/7/19	medium
304432	Ubuntu 16.04 LTS / 18.04 LTS : Roundcube Webmail vulnerabilities (USN-8132-1)	Nessus	Ubuntu Local Security Checks	2026/3/31	2026/4/30	high
119125	Debian DSA-4344-1 : roundcube - security update	Nessus	Debian Local Security Checks	2018/11/26	2024/7/19	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

high

high

high

medium

high

medium