根据应用程序自我报告的版本号，Roundcube Webmail 的版本低于 1.5.7，或介于 1.6.x 和 1.6.7 之间。因而可能会受到多个漏洞的影响：

 - 通过 SVG 动画属性触发的跨站脚本 (XSS) 漏洞。

 - 通过用户首选项列表列触发的跨站脚本 (XSS) 漏洞。

 - 通过 im_convert_path 和 im_identify_path 触发的命令注入漏洞。

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

远程 Debian 11/12 主机上安装的多个程序包受到 dsa-5714 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-5714-1 security@debian.org https://www.debian.org/security/Sebastien Delafond 2024 年 6 月 18 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：roundcube CVE ID：CVE-2024-37383 CVE-2024-37384 Debian 缺陷：1071474

    CrowdStrike 的 Huy Nguyn Phm Nht、Valentin T. 和 Lutz Wolf 发现，用于 IMAP 服务器的基于可换肤 AJAX 的 webmail 解决方案 roundcube 未正确处理和审查请求。这会允许攻击者执行跨站脚本 (XSS) 攻击。

    对于旧的稳定发行版本 (bullseye)，这些问题已在 1.4.15+dfsg.1-1+deb11u3 版本中解决。

    对于稳定发行版本 (bookworm)，这些问题已在 1.6.5+dfsg-1+deb12u2 版本中解决。

    建议您升级 roundcube 程序包。

    如需了解 roundcube 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/roundcube

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 16.04 LTS/18.04 LTS/20.04 LTS/22.04 LTS/23.10 主机上安装的多个程序包受到 USN-6848-1 公告中提及的多个漏洞影响。

    Matthieu Faou 和 Denys Klymenko 发现 Roundcube 未能正确处理某些 SVG 图像。远程攻击者可能利用此问题价值任意 JavaScript 代码。此问题仅影响 Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS 和 Ubuntu 23.10。(CVE-2023-5631)

    Rene Rehme 发现 Roundcube 未能正确处理某些标头。远程攻击者可能利用此问题价值任意 JavaScript 代码。此问题仅影响 Ubuntu 20.04 LTS、Ubuntu 22.04 LTS 和 Ubuntu 23.10。(CVE-2023-47272)

    Valentin T. 和 Lutz Wolf 发现 Roundcube 未能正确处理某些 SVG 图像。远程攻击者可能利用此问题价值任意 JavaScript 代码。此问题仅影响 Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS 和 Ubuntu 23.10。(CVE-2024-37383)

    Huy Nguyn Phm Nht 发现 Roundcube 未能正确处理用户首选项中的某些字段。远程攻击者可能利用此问题价值任意 JavaScript 代码。
    (CVE-2024-37384)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 10 主机上安装的多个程序包受到 dla-3835 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3835-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2024 年 6 月 17 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：roundcube 版本：1.3.17+dfsg.1-1~deb10u6 CVE ID：CVE-2024-37383 CVE-2024-37384 Debian 缺陷：1071474

    Roundcube 是适用于 IMAP 服务器的基于可定制外观 AJAX 的 webmail 解决方案。据发现，其中存在跨站脚本 (XSS) 漏洞，可让远程攻击者加载任意 JavaScript 代码，并且可能导致特权提升或信息泄露。

    CVE-2024-37383

        CrowdStrike 的 Valentin T. 和 Lutz Wolf 发现，Roundcube 通过 SVG 动画属性存在 XSS 漏洞。

    CVE-2024-37384

        Huy Nguyn Phm Nht 发现 Roundcube 通过用户首选项的列表列存在 XSS 漏洞。

    对于 Debian 10 Buster，已在 1.3.17+dfsg.1-1~deb10u6 版本中修复这些问题。

    建议您升级 roundcube 程序包。

    如需了解 roundcube 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/roundcube

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
114556	Roundcube Webmail 1.5.x < 1.5.7多个漏洞	Web App Scanning	Component Vulnerability	2025/1/17	2025/1/17	critical
114557	Roundcube Webmail 1.6.x < 1.6.7多个漏洞	Web App Scanning	Component Vulnerability	2025/1/17	2025/1/17	critical
200701	Debian dsa-5714：roundcube - 安全更新	Nessus	Debian Local Security Checks	2024/6/18	2024/10/28	medium
201016	Ubuntu 16.04 LTS/18.04 LTS/20.04 LTS/22.04 LTS/23.10：Roundcube 漏洞 (USN-6848-1)	Nessus	Ubuntu Local Security Checks	2024/6/26	2024/10/25	medium
200652	Debian dla-3835：roundcube - 安全更新	Nessus	Debian Local Security Checks	2024/6/17	2024/10/28	medium

检测

插件搜索

critical

critical

medium

medium

medium