PT-2024-4655 · Unknown+4 · Roundcube Webmail+4
Lutz Wolf
+1
·
Publicado
2019-11-09
·
Atualizado
2025-12-06
·
CVE-2024-37383
CVSS v2.0
6.4
Média
| Vetor | AV:N/AC:L/Au:N/C:P/I:P/A:N |
Nome do software vulnerável e versões afetadas:
Versões do Roundcube Webmail anteriores à 1.5.7 e versões 1.6.x anteriores à 1.6.7
Descrição:
O problema está relacionado a uma vulnerabilidade de cross-site scripting armazenada no software Roundcube Webmail, permitindo que um invasor execute código JavaScript na página do usuário. Essa vulnerabilidade pode ser explorada enviando-se um e-mail malicioso a um usuário, que então executa o código malicioso quando o e-mail é aberto. A vulnerabilidade é causada pela filtragem inadequada de tags SVG, especificamente os atributos
animate. Estima-se que mais de 2,7 milhões de serviços estejam potencialmente afetados, e já ocorreram incidentes reais em que essa falha foi explorada para roubar credenciais e comprometer e-mails.Recomendações:
Para versões anteriores à 1.5.7 e 1.6.x anteriores à 1.6.7, atualize para a versão 1.5.7 ou 1.6.7 ou posterior para resolver o problema.
Como solução temporária, considere desativar o uso de elementos SVG em e-mails até que um patch seja aplicado.
Restrinja o acesso ao software de webmail Roundcube vulnerável para minimizar o risco de exploração.
Evite usar os atributos
animate em elementos SVG em e-mails até que o problema seja resolvido.Exploit
Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Alt Linux
Linuxmint
Red Os
Roundcube Webmail
Ubuntu