BDU:2023-07982

Уязвимость почтового клиента RoundCube, связанная с неправильной нейтрализацией ввода во время создания веб-страницы, позволяющая нарушителю проводить межсайтовые сценарные атаки

Опубликовано: 2023-11-21

Описание

Уязвимость почтового клиента RoundCube связана с неправильной нейтрализацией ввода во время создания веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, проводить межсайтовые сценарные атаки

Затрагиваемое ПО и версии

РЕД ОС (7.3)Fedora (37)Fedora (38)Fedora (39)RoundCube Webmail (от 1.5.0 до 1.5.5)RoundCube Webmail (от 1.6.0 до 1.6.4)

Способ устранения

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для RoundCube:
https://github.com/roundcube/roundcubemail/commit/5ec496885e18ec6af956e8c0d627856c2257ba2d
https://github.com/roundcube/roundcubemail/releases/tag/1.5.6
https://github.com/roundcube/roundcubemail/releases/tag/1.6.5

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/GILSR762MJB3BNJOVOCMW2JXEPV46IIQ/
https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/YFRGBPET73URF6364CI547ZVWQESJLGK/
https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/Z4F4DUA3Q46ZVB2RD7BFP4XMNS4RYFFQ/

Оценка CVSS

Балл	6.4 — средняя опасность

Источники и патчи

https://redos.red-soft.ru/support/secure/https://github.com/roundcube/roundcubemail/commit/5ec496885e18ec6af956e8c0d627856c2257ba2d https://github.com/roundcube/roundcubemail/releases/tag/1.5.6 https://github.com/roundcube/roundcubemail/releases/tag/1.6.5 https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/GILSR762MJB3BNJOVOCMW2JXEPV46IIQ/https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/YFRGBPET73URF6364CI547ZVWQESJLGK/https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/Z4F4DUA3Q46ZVB2RD7BFP4XMNS4RYFFQ/

Проверьте безопасность своего сайта и почты → Полная проверка домена