PT-2021-7305 · Roundcube+3 · Roundcube+3

Alecpl · Publicado 2021-12-29 · Atualizado 2025-01-24 · CVE-2021-46144

Positive Technologies (AI Summary) · Pt

CVSS v2.0

6.4

Média

Vetor base

AV:N/AC:L/Au:N/C:P/I:P/A:N

Nome do software vulnerável e versões afetadas

Versões 1.4.13 e anteriores do Roundcube, e versões 1.5.x anteriores à 1.5.2

Descrição

A vulnerabilidade permite ataques de cross-site scripting (XSS) por meio de sequências de tokens de Cascading Style Sheets (CSS) criadas especificamente para esse fim em mensagens de e-mail em HTML. Isso pode permitir que um invasor remoto realize ataques de cross-site scripting enviando uma mensagem de e-mail especialmente criada. A vulnerabilidade está relacionada à falta de medidas de proteção para a estrutura da página da web ao processar estilos CSS.

Recomendações

Para as versões 1.4.13 e anteriores, atualize para a versão 1.4.13 ou posterior.

Para as versões 1.5.x anteriores à 1.5.2, atualize para a versão 1.5.2 ou posterior.

Como solução temporária, considere restringir o processamento de estilos CSS em mensagens de e-mail em HTML até que um patch esteja disponível.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

ALT-PU-2022-1073

ALT-PU-2025-1825

BDU:2022-05555

CVE-2021-46144

DLA-2878-1

DSA-5037-1

USN-5182-1

Produtos afetados

Alt Linux

Linuxmint

Roundcube

Ubuntu

Referências · 44

• 🔥 https://github.com/DrunkenShells/Disclosures/tree/master/CVE-2020-12625-Cross%20Site-Scripting%20via%20Malicious%20HTML%20Attachment-Roundcube · Exploit
• 🔥 https://github.com/DrunkenShells/Disclosures/tree/master/CVE-2020-12641-Command%20Injection-Roundcube · Exploit
• 🔥 https://github.com/DrunkenShells/Disclosures/tree/master/CVE-2020-12640-PHP%20Local%20File%20Inclusion-Roundcube · Exploit
• 🔥 https://github.com/DrunkenShells/Disclosures/tree/master/CVE-2020-13965-Cross%20Site-Scripting%20via%20Malicious%20XML%20Attachment-Roundcube · Exploit
• 🔥 https://github.com/s3cb0y/CVE-2023-43770-POC · Exploit
• 🔥 https://github.com/pentesttoolscom/roundcube-cve-2021-44026 · Exploit
• 🔥 https://github.com/bartfroklage/CVE-2024-37383-POC · Exploit
• 🔥 https://github.com/knight0x07/CVE-2023-43770-PoC · Exploit
• 🔥❌ https://github.com/greandfather/EXPLOIT-Roundcube-vulnerability-POC-CVE-2023-5631- · Exploit, Deleted
• https://github.com/roundcube/roundcubemail/commit/b2400a4b592e3094b6c84e6000d512f99ae0eed8 · Correção
• https://github.com/roundcube/roundcubemail/commit/8894fddd59b770399eed4ef8d4da5773913b5bf0 · Correção
• https://nvd.nist.gov/vuln/detail/cve-2021-46144 · Nota de Segurança
• https://roundcube.net/news/2021/12/30/security-update-1.4.13-released · Aviso do Fabricante
• https://t.me/cvenotify/25013 · Publicação no Telegram
• https://debian.org/security/2022/dsa-5037 · Aviso do Fabricante