**版本 1.1.5** * 插件 API：添加了 html2text 挂钩 * 插件 API：
添加了 addressbook_export 挂钩 * 修复从 html 转换到文本时缺少表情符号的问题 * 修复注销时随机出现“访问此资源相当安全，不会受到 CSRF 攻击”消息的问题 (#4956) * 修复在 HTML 模式下“添加到字典”请求中缺少语言名称的问题 (#4951) * 针对 IMAP 启用 TLSv1.1 和 TLSv1.2 的使用 (#4955) * 修复 SVG 图像处理过程中的 XSS 问题 (#4949) * 修复（再次）密码插件的 DBMail 驱动程序的安全问题 (CVE-2015-2181) (#4958) * 修复收件人名称包含 @- 字符时，解析长收件人列表过程中的缺陷 (#4964)

- 修复 additional_message_headers 插件与 Mail_Mime >= 1.9 的兼容性 (#4966) * 不使用 smtp_server 时在首选项中隐藏 DSN 选项 (#4967)

- 使用唯一请求标记保护下载 URL 不受 CSRF 攻击 (#4957) * newmail_notifier 插件：重构桌面通知 * 修复为可通过配置文件设置 contactlist_fields 选项 * 修复为仅在用户设置特殊文件夹之前，才会强制执行 SPECIAL-USE 分配 (#4782) * 修复恢复 THREAD 结果顺序时的性能 * 修复将含有 www. 的邮件地址转换
 为 mailto 链接 (#5197)

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

多个 CSRF 和 XSS 问题允许远程攻击者劫持认证，以及未经用户同意便执行 roundcube 操作。在某些情况下，这可导致数据丢失或数据窃取。

CVE-2014-9587

多种跨站请求伪造 (CSRF) 漏洞允许远程攻击者通过与 (1) 通讯簿操作或 (2) ACL 或 (3) Managesieve 插件相关的未知矢量劫持不明受害者的认证。

CVE-2015-1433

审查样式 HTML 属性期间错误的引用逻辑允许远程攻击者在用户的浏览器中执行任意 JavaScript 代码。CVE-2016-4069

跨站请求伪造 (CSRF) 漏洞允许远程攻击者通过不明矢量，针对下载附件请求劫持用户的认证，并造成拒绝服务(磁盘消耗）。

对于 Debian 7“Wheezy”，这些问题已在 0.7.2-9+deb7u4 版本中修复。

建议您升级 roundcube 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

此 roundcubemail 更新修复了下列漏洞：

- CVE-2015-8864：SVG 图像处理中的 XSS 问题 (boo#976988)

- CVE-2015-2181：密码插件 DBMail 驱动程序中的问题

- CVE-2016-4069：下载 URL 中的跨站请求伪造 (boo#976988) Roundcubemail 也更新到 1.1.5，修复了以下缺陷：

- 插件 API：添加 html2text 挂钩

- 插件 API：添加 addressbook_export 挂钩

- 修复从 html 转换到文本时缺少表情符号的问题

- 修复注销时随机出现“访问此资源相当安全，不会受到 CSRF 攻击”消息的问题

- 修复在 HTML 模式下“添加到字典”请求中缺少语言名称的问题

- 针对 IMAP 启用 TLSv1.1 和 TLSv1.2

- 修复使用 select=all 模式跳转页面后“Archive”/“Junk”按钮未激活的缺陷

- 修复收件人名称包含 @- 字符时在长收件人列表的解析过程中存在的缺陷

- 修复 additional_message_headers 插件与 Mail_Mime >= 1.9 的兼容性

- 不使用 smtp_server 时，在首选项设置中隐藏 DSN 选项

- newmail_notifier：重构桌面通知

- 修复为可通过配置文件设置 contactlist_fields 选项

- 修复为仅在用户设置特殊文件夹之前，才会强制执行 SPECIAL-USE 分配

- 修复恢复 THREAD 结果顺序的性能

- 修复将含有 www. 的邮件地址转换为 mailto 链接

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
90813	Fedora 23：roundcubemail-1.1.5-1.fc23 (2016-69eb7f9fb2)	Nessus	Fedora Local Security Checks	2016/5/2	2021/1/11	high
93385	Debian DLA-613-1：roundcube 安全更新	Nessus	Debian Local Security Checks	2016/9/9	2021/1/11	high
90815	Fedora 22：roundcubemail-1.1.5-1.fc22 (2016-a9c8f9dcff)	Nessus	Fedora Local Security Checks	2016/5/2	2021/1/11	high
90971	Fedora 24：roundcubemail-1.1.5-1.fc24 (2016-aff691237e)	Nessus	Fedora Local Security Checks	2016/5/9	2021/1/11	high
93067	openSUSE 安全更新：roundcubemail (openSUSE-2016-995)	Nessus	SuSE Local Security Checks	2016/8/22	2021/1/19	high

检测

插件搜索

high

high

high

high

high