Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Roundcube Webmail 之前 1.6.17 和 1.7.x 以前 1.7.2 版本允许存储型跨站脚本 （XSS）。出现该问题的原因是附件验证警告页面上未正确转义附件 MIME 类型。
    (CVE-2026-54432)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Debian 11/12 主机上安装的多个程序包受到 dla-4693 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4693-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2026 年 7 月 22 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：roundcube 版本：1.4.15+dfsg.1-1+deb11u10 1.6.5+dfsg-1+deb12u10 CVE ID：CVE-2026-54432 CVE-2026-54433 CVE-2026-62641 CVE-2026-62642 CVE-2026-62643 CVE-2026-62644 Debian 缺陷：1138086 1141495

    在 Roundcube（一款基于 AJAX、支持更换皮肤且适用于 IMAP 服务器的网页邮件解决方案）中发现了多个漏洞，这些漏洞可能导致跨站脚本、服务端请求伪造、信息泄露、拒绝服务或潜在的帐户接管。

    CVE-2026-54432

        Bohdan Kurinnoy 发现，在附件验证警告页面上，附件的 MIME 类型既未经审查也未进行转义，从而导致了存储型 XSS 漏洞。

    CVE-2026-54433

        Bohdan Kurinnoy 发现，纯文本渲染功能存在一个零点击存储型 XSS 漏洞，该漏洞可通过精心构建的 mailto: URI 触发。

    CVE-2026-62641

        研究发现，TNEF 解码器存在拒绝服务漏洞，该漏洞可通过 winmail.dat 附件中经精心构建的 compressed-RTF 大小值触发。

    CVE-2026-62642

        TNEF 解码器中发现了一个无限循环问题，打开包含 TNEF 附件的电子邮件时，该问题可能导致拒绝服务。

    CVE-2026-62643

        经发现，针对 CVE-2026-35540 和 CVE-2026-48843 的 CSS 审查修复措施存在不足，导致 HTML 邮件中嵌入的恶意样式表可能引发 SSRF 或信息泄露。

    CVE-2026-62644

        经发现，该密码插件容易受到利用会话数据进行的用户名欺骗攻击，这可能导致帐户被接管。

    对于 Debian 11 bullseye，已在 1.4.15+dfsg.1-1+deb11u10 版本中修复这些问题。

    对于 Debian 12 bookworm，已在 1.6.5+dfsg-1+deb12u10 版本中修复这些问题。

    建议您升级 roundcube 程序包。

    如需了解 roundcube 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/roundcube

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 13 主机上安装的多个程序包受到 dsa-6391 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6391-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2026 年 7 月 19 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：roundcube CVE ID：CVE-2026-54432 CVE-2026-54433 CVE-2026-62641 CVE-2026-62642 CVE-2026-62643 CVE-2026-62644 Debian 缺陷：1141495

    在 IMAP 服务器基于 AJAX 的可换肤 webmail 解决方案 roundcube 中发现多个漏洞，可导致帐户接管、跨站脚本、SSRF 绕过、信息泄露或拒绝服务。

    对于稳定发行版本 (trixie)，已在版本 1.6.17+dfsg-0+deb13u1 中修复这些问题。

    建议您升级 roundcube 程序包。

    如需了解 roundcube 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/roundcube

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Debian 11/12 主機上安裝的多個套件受到 dla-4693 公告中提及的多個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4693-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2026 年 7 月 22 日https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件：roundcube 版本：1.4.15+dfsg.1-1+deb11u10 1.6.5+dfsg-1+deb12u10 CVE ID：CVE-2026-54432 CVE-2026-54433 CVE-2026-62641 CVE-2026-62642 CVE-2026-62643 CVE-2026-62644 Debian 錯誤：1138086 1141495

    在 Roundcube (一種基於 AJAX 的 IMAP 伺服器的可剝皮網路郵件解決方案) 中發現多個漏洞，可導致跨網站指令碼、伺服器端要求偽造、資訊洩露、拒絕服務或可能造成帳戶接管。

    CVE-2026-54432

        Bohdan Kurinnoy 發現附件驗證警告頁面上的附件 MIME 類型既未清理也未逸出，從而產生儲存的 XSS 漏洞。

    CVE-2026-54433

        Bohdan Kurinnoy 發現，純文字渲染會透過特製的 mailto: URI 受到零點擊儲存 XSS 漏洞的影響。

    CVE-2026-62641

        據發現，TNEF 解碼器會因 winmail.dat 附件檔中特製的壓縮 RTF 大小而遭受拒絕服務。

    CVE-2026-62642

        在 TNEF 解碼器中發現無限迴圈，這可能會導致在開啟具有 TNEF 附件的電子郵件時遭到拒絕服務。

    CVE-2026-62643

        據發現，針對 CVE-2026-35540 和 CVE-2026-48843 的 CSS 清理修復不足，允許 HTML 電子郵件中的惡意嵌入樣式表導致 SSRF 或資訊洩露。

    CVE-2026-62644

        據發現，密碼外掛程式可能會透過會話資料進行使用者名稱欺騙，這可能會導致發生帳戶接管。

    針對 Debian 11 bullseye，這些問題已在 1.4.15+dfsg.1-1+deb11u10 版本中修正。

    針對 Debian 12 bookworm，這些問題已在 1.6.5+dfsg-1+deb12u10 版本中修正。

    建議您升級 roundcube 套件。

    如需有關 roundcube 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/roundcube

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Roundcube 之前和1.7.x之前1.7.2的 Webmail 1.6.17 允許儲存的跨網站腳本 （XSS）。發生此問題的原因是附件 MIME 類型未在附件驗證警告頁面上正確逸出。
    (CVE-2026-54432)

請注意，Nessus 依賴供應商報告的套件存在。

遠端 Debian 13 主機上安裝的多個套件受到 dsa-6391 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------------------- Debian 安全公告 DSA-6391-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2026 年 7 月 19 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：roundcube CVE ID：CVE-2026-54432 CVE-2026-54433 CVE-2026-62641 CVE-2026-62642 CVE-2026-62643 CVE-2026-62644 Debian 錯誤：1141495

    在 roundcube（一種基於 AJAX 的 IMAP 伺服器的可剝皮網路郵件解決方案）中發現多個漏洞，可導致帳戶接管、跨網站指令碼、繞過 SSRF、資訊洩露或拒絕服務。

    針對穩定的發行版本 (trixie)，這些問題已在 1.6.17+dfsg-0+deb13u1 版本中修復。

    建議您升級 roundcube 套件。

    如需有關 roundcube 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/roundcube

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

リモートの Fedora 43 ホストには、FEDORA-2026-c3351f4ae4 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ## リリース 1.6.17

    - Enigma: HKP v1 プロトコルを使用した自動公開鍵検索 (インポート) をサポート (#5314)
    - Enigma: Kolab WOAT サポート (#8626)
    - Security: TNEF(winmail.dat) デコーダーの無限ループを修正 (#10193)
    - Security: セッションによって注入されたユーザー名を使用するパスワードプラグインの多様な脆弱性を修正
    - Security: 添付ファイル検証警告ページで添付ファイルの MIME タイプがエスケープされないために保存された XSS を修正 [CVE-2026-54432]
    - Security: 特定のローカルアドレス URL を介する SSRF バイパスを修正 - 2 つの新しい事例
    - Security: 平文レンダリングのゼロクリックで保存した XSS を修正 [CVE-2026-54433]
    - Security: TNEF (winmail.dat) ファイルの細工された圧縮 RTF サイズを介した DoS を修正



Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 44 ホストには、FEDORA-2026-517daa8d64 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ## リリース 1.7.2

    - HEAD リクエストハンドラーを「static.php」に追加
    - 「oauth_password_claim」クレームがトークンまたはユーザー情報リクエストを介して取得されるように修正 (#9631)
    - 「static.php」が特定の「範囲」リクエストで 416 エラーを返すバグを修正 (#10194)
    - 構成済みのスキンロゴが「static.php」を介して読み込まれず、404 エラーが発生するバグを修正 (#10191)
    - public_html フォルダーがターゲットディレクトリに存在しない場合に installto.sh が失敗するバグを修正 (#10202)
    - force_7bit が無効な場合、HTML パーツに対して引用符で囲まれた印刷可能に対して 8 ビットを優先することを元に戻す (#8477) (#10198)
    - vCard 2.1 連絡先をインポートするときの折り畳まれた線の不適切な展開を修正 (#9647)
    - Imagick が失敗時に大きな一時ファイルを残す可能性があるバグを修正 (#10230)
    - redis/memcache セッションが必要以上に頻繁に更新される可能性があるバグを修正
    - OIDC バックチャネルログアウトで型付けされていないトークンのサポートを修正、未設定の「nonce」が必要 (#10097)
    - Security: TNEF(winmail.dat) デコーダーの無限ループを修正 (#10193)
    - Security: セッションによって注入されたユーザー名を使用するパスワードプラグインの多様な脆弱性を修正
    - Security: 添付ファイル検証警告ページで添付ファイルの MIME タイプがエスケープされないために保存された XSS を修正 [CVE-2026-54432]
    - Security: 特定のローカルアドレス URL を介する SSRF バイパスを修正 - 2 つの新しい事例
    - Security: 平文レンダリングのゼロクリックで保存した XSS を修正 [CVE-2026-54433]
    - Security: TNEF (winmail.dat) ファイルの細工された圧縮 RTF サイズを介した DoS を修正




Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 13 ホストには、dsa-6391 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian セキュリティアドバイザリ DSA-6391-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2026 年 7 月 19 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ : roundcube CVE ID: CVE-2026-54432 CVE-2026-54433 CVE-2026-62641 CVE-2026-62642 CVE-2026-62643 CVE-2026-62644 Debian バグ: 1141495

    スキン変更が可能な IMAP サーバー向け AJAX ベースの Web メールソリューションである roundcube に、複数の脆弱性が発見されました。これにより、アカウント乗っ取り、クロスサイトスクリプティング、SSRF バイパス、情報漏洩またはサービス拒否が引き起こされる可能性があります。

    安定版 (stable) ディストリビューション (trixie) では、これらの問題はバージョン 1.6.17+dfsg-0+deb13u1 で修正されています。

    お使いの roundcube パッケージをアップグレードすることを推奨します。

    roundcube の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
    https://security-tracker.debian.org/tracker/roundcube

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、d5578ba4-7889-11f1-b72c-8447094a420f のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    Rouncube プロジェクトによる報告:
    詳細については、リンクを参照してください

Tenable は、前述の記述ブロックを FreeBSD セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 11 / 12 ホストには、dla-4693 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ------------------------------------------------------------------------- Debian LTS アドバイザリ DLA-4693-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 氏 2026 年 7 月 22 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ : roundcube バージョン : 1.4.15+dfsg.1-1+deb11u10 1.6.5+dfsg-1+deb12u10 CVE ID : CVE-2026-54432 CVE-2026-54433 CVE-2026-62641 CVE-2026-62642 CVE-2026-62643 CVE-2026-62644 Debian バグ : 1138086 1141495

    スキン変更が可能な IMAP サーバー向け AJAX ベースの Web メールソリューションである Roundcube に、複数の脆弱性が発見されました。これにより、クロスサイトスクリプティング、サーバーサイドリクエストフォージェリ、情報漏洩、サービス拒否、アカウント乗っ取りが引き起こされる可能性があります。

    CVE-2026-54432

        Bohdan Kurinnoy 氏は、添付ファイルの MIME タイプが、添付ファイル検証の警告ページでサニタイズもエスケープも行われず、蓄積型 XSS の脆弱性をもたらすことを発見しました。

    CVE-2026-54433

        Bohdan Kurinnoy 氏は、プレーンテキストレンダリングが、細工された mailto: URI を介したゼロクリック蓄積型 XSS の脆弱性の対象となっていることを発見しました。

    CVE-2026-62641

        TNEF デコーダーが、winmail.dat 添付ファイルの細工された圧縮 RTF サイズにより、サービス拒否の対象となっていることが判明しました。

    CVE-2026-62642

        TNEF デコーダーで無限ループが見つかりました。これにより、TNEF 添付ファイル付きのメールを開いたときにサービス拒否が発生する可能性があります。

    CVE-2026-62643

        CVE-2026-35540 および CVE-2026-48843 の CSS サニタイズ修正が不十分で、悪意のある埋め込みスタイルシートが HTML メールに埋め込まれ、SSRF または情報漏洩を引き起こす可能性があることが判明しました。

    CVE-2026-62644

        パスワードプラグインが、セッションデータを通じてユーザー名偽装の対象となり、アカウント乗っ取りにつながる可能性があることが判明しました。

    Debian 11 bullseye においては、これらの問題はバージョン 1.4.15+dfsg.1-1+deb11u10 で修正されました。

    Debian 12 bookworm においては、これらの問題はバージョン 1.6.5+dfsg-1+deb12u10 で修正されました。

    お使いの roundcube パッケージをアップグレードすることを推奨します。

    roundcube の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
    https://security-tracker.debian.org/tracker/roundcube

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 署名

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 1.6.17 より前および 1.7.2 より前の 1.7.x の Roundcube Web メールでは、蓄積型クロスサイトスクリプティング(XSS)が可能になります。この問題が発生する原因は、添付ファイルの MIME タイプが添付ファイル検証の警告ページで適切にエスケープされないことです。
    (CVE-2026-54432)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The remote Fedora 44 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-517daa8d64 advisory.

    ## Release 1.7.2

    - Add HEAD request handler to the `static.php`
    - Fix so the `oauth_password_claim` claim is retrieved via token or userinfo request (#9631)
    - Fix bug where `static.php` would return a 416 error on a specific `Range` request (#10194)
    - Fix bug where configured skin logo wasn't loaded via `static.php` resulting in 404 error (#10191)
    - Fix bug where installto.sh would fail if public_html folder does not exist in the target directory     (#10202)
    - Revert Prefer 8bit over quoted-printable for HTML parts, when force_7bit is disabled (#8477) (#10198)
    - Fix incorrect unfolding of folded lines when importing vCard 2.1 contacts (#9647)
    - Fix bug where Imagick could leave large temporary files on failure (#10230)
    - Fix bug where redis/memcache session could have been updated more often than needed
    - Fix support for untyped tokens in OIDC backchannel logout, require unset `nonce` (#10097)
    - Security: Fix an infinite loop in TNEF (winmail.dat) decoder (#10193)
    - Security: Fix various vulnerabilities in the password plugin using session-injected username
    - Security: Fix stored XSS via unescaped attachment MIME type on the attachment-validation warning page     [CVE-2026-54432]
    - Security: Fix SSRF bypass via specific local address URLs - two new cases
    - Security: Fix zero-click stored XSS in plain-text rendering [CVE-2026-54433]
    - Security: Fix DoS via crafted compressed-RTF size in the TNEF (winmail.dat) file




Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Debian 13 host has packages installed that are affected by multiple vulnerabilities as referenced in the dsa-6391 advisory.

    - -------------------------------------------------------------------------     Debian Security Advisory DSA-6391-1                   security@debian.org     https://www.debian.org/security/                     Salvatore Bonaccorso     July 19, 2026                         https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    Package        : roundcube     CVE ID         : CVE-2026-54432 CVE-2026-54433 CVE-2026-62641 CVE-2026-62642                      CVE-2026-62643 CVE-2026-62644     Debian Bug     : 1141495

    Multiple vulnerabilities were discovered in roundcube, a skinnable AJAX     based webmail solution for IMAP servers, which could result in account     takeover, cross-site scripting, SSRF bypass, information disclosure or     denial of service.

    For the stable distribution (trixie), these problems have been fixed in     version 1.6.17+dfsg-0+deb13u1.

    We recommend that you upgrade your roundcube packages.

    For the detailed security status of roundcube please refer to its     security tracker page at:
    https://security-tracker.debian.org/tracker/roundcube

    Further information about Debian Security Advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://www.debian.org/security/

    Mailing list: debian-security-announce@lists.debian.org

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The version of FreeBSD installed on the remote host is prior to tested version. It is, therefore, affected by multiple vulnerabilities as referenced in the d5578ba4-7889-11f1-b72c-8447094a420f advisory.

    The Rouncube project reports:
    See links for more detail

Tenable has extracted the preceding description block directly from the FreeBSD security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Debian 11 / 12 host has packages installed that are affected by multiple vulnerabilities as referenced in the dla-4693 advisory.

    -------------------------------------------------------------------------     Debian LTS Advisory DLA-4693-1                debian-lts@lists.debian.org     https://www.debian.org/lts/security/                       Guilhem Moulin     July 22, 2026                                 https://wiki.debian.org/LTS
    -------------------------------------------------------------------------

    Package        : roundcube     Version        : 1.4.15+dfsg.1-1+deb11u10 1.6.5+dfsg-1+deb12u10     CVE ID         : CVE-2026-54432 CVE-2026-54433 CVE-2026-62641 CVE-2026-62642                      CVE-2026-62643 CVE-2026-62644     Debian Bug     : 1138086 1141495

    Multiple vulnerabilities were discovered in Roundcube, a skinnable AJAX     based webmail solution for IMAP servers, which could result in     cross-site scripting, server-side request forgery, information     disclosure, denial of service, or potentially account takeover.

    CVE-2026-54432

        Bohdan Kurinnoy discovered that attachment MIME types were neither         sanitized nor escaped on the attachment-validation warning page,         yielding a stored XSS vulnerability.

    CVE-2026-54433

        Bohdan Kurinnoy discovered that plain-text rendering was subject to         a zero-click stored XSS vulnerability via crafted mailto: URIs.

    CVE-2026-62641

        It was discovered that the TNEF decoder was subject to Denial of         Service via crafted compressed-RTF size in the winmail.dat         attachment file.

    CVE-2026-62642

        An infinite loop was discovered in the TNEF decoder, which may lead         to denial of service upon opening an email with a TNEF attachment.

    CVE-2026-62643

        It was discovered that the CSS sanitization fixes for CVE-2026-35540 and         CVE-2026-48843 were insufficient, allowing a malicious embedded         stylesheet in an HTML email to lead to SSRF or information         disclosure.

    CVE-2026-62644

        It was discovered that the password plugin was subject to username         spoofing via session data, which could potentially lead to account         takeover.

    For Debian 11 bullseye, these problems have been fixed in version     1.4.15+dfsg.1-1+deb11u10.

    For Debian 12 bookworm, these problems have been fixed in version     1.6.5+dfsg-1+deb12u10.

    We recommend that you upgrade your roundcube packages.

    For the detailed security status of roundcube please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/roundcube

    Further information about Debian LTS security advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://wiki.debian.org/LTS     Attachment:
    signature.asc     Description: PGP signature

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Roundcube Webmail before 1.6.17 and 1.7.x before 1.7.2 allows Stored Cross-Site Scripting (XSS). The issue     occurs because the attachment MIME type is not properly escaped on the attachment-validation warning page.
    (CVE-2026-54432)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote Fedora 43 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-c3351f4ae4 advisory.

    ## Release 1.6.17

    - Enigma: Support automatic public key lookup (import) using HKP v1 protocol (#5314)
    - Enigma: Kolab WOAT Support (#8626)
    - Security: Fix an infinite loop in TNEF (winmail.dat) decoder (#10193)
    - Security: Fix various vulnerabilities in the password plugin using session-injected username
    - Security: Fix stored XSS via unescaped attachment MIME type on the attachment-validation warning page     [CVE-2026-54432]
    - Security: Fix SSRF bypass via specific local address URLs - two new cases
    - Security: Fix zero-click stored XSS in plain-text rendering [CVE-2026-54433]
    - Security: Fix DoS via crafted compressed-RTF size in the TNEF (winmail.dat) file



Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
325334	Linux Distros 未修补的漏洞：CVE-2026-54432	Nessus	Misc.	2026/7/7	2026/7/25	medium
328879	Debian dla-4693：roundcube - 安全更新	Nessus	Debian Local Security Checks	2026/7/22	2026/7/22	critical
327907	Debian dsa-6391：roundcube - 安全更新	Nessus	Debian Local Security Checks	2026/7/20	2026/7/21	critical
328879	Debian dla-4693：roundcube - 安全性更新	Nessus	Debian Local Security Checks	2026/7/22	2026/7/22	critical
325334	Linux Distros 未修補弱點：CVE-2026-54432	Nessus	Misc.	2026/7/7	2026/7/25	medium
327907	Debian dsa-6391：roundcube - 安全性更新	Nessus	Debian Local Security Checks	2026/7/20	2026/7/21	critical
327216	Fedora 43 : roundcubemail (2026-c3351f4ae4)	Nessus	Fedora Local Security Checks	2026/7/16	2026/7/21	critical
327217	Fedora 44 : roundcubemail (2026-517daa8d64)	Nessus	Fedora Local Security Checks	2026/7/16	2026/7/21	critical
327907	Debian dsa-6391 : roundcube - セキュリティ更新	Nessus	Debian Local Security Checks	2026/7/20	2026/7/21	critical
325259	FreeBSD : Roundcube -- 複数の脆弱性 (d5578ba4-7889-11f1-b72c-8447094a420f)	Nessus	FreeBSD Local Security Checks	2026/7/6	2026/7/20	critical
328879	Debian dla-4693 : roundcube - セキュリティ更新	Nessus	Debian Local Security Checks	2026/7/22	2026/7/22	critical
325334	Linux Distros のパッチ未適用の脆弱性: CVE-2026-54432	Nessus	Misc.	2026/7/7	2026/7/25	medium
327217	Fedora 44 : roundcubemail (2026-517daa8d64)	Nessus	Fedora Local Security Checks	2026/7/16	2026/7/21	critical
327907	Debian dsa-6391 : roundcube - security update	Nessus	Debian Local Security Checks	2026/7/20	2026/7/21	critical
325259	FreeBSD : Roundcube -- Multiple vulnerabilities (d5578ba4-7889-11f1-b72c-8447094a420f)	Nessus	FreeBSD Local Security Checks	2026/7/6	2026/7/20	critical
328879	Debian dla-4693 : roundcube - security update	Nessus	Debian Local Security Checks	2026/7/22	2026/7/22	critical
325334	Linux Distros Unpatched Vulnerability : CVE-2026-54432	Nessus	Misc.	2026/7/7	2026/7/25	medium
327216	Fedora 43 : roundcubemail (2026-c3351f4ae4)	Nessus	Fedora Local Security Checks	2026/7/16	2026/7/21	critical

检测

插件搜索

medium

critical

critical

critical

medium

critical

critical

critical

critical

critical

critical

medium

critical

critical

critical

critical

medium

critical