PT-2024-4656 · Unknown+4 · Roundcube Webmail+4

Huy Nguyễn Phạm Nhật · Publicado 2024-05-19 · Atualizado 2025-06-23 · CVE-2024-37384

Positive Technologies (AI Summary) · Pt

CVSS v2.0

6.4

Média

Vetor base

AV:N/AC:L/Au:N/C:P/I:P/A:N

Nome do software vulnerável e versões afetadas:

Roundcube Webmail, versões 1.5.0 a 1.5.6

Roundcube Webmail, versões 1.6.0 a 1.6.6

Descrição:

O problema está relacionado à proteção insuficiente da estrutura da página da web no Roundcube Webmail, permitindo que um invasor remoto realize ataques de script entre sites (XSS) utilizando colunas de listas das preferências do usuário.

Recomendações:

Para as versões 1.5.0 a 1.5.6 do Roundcube Webmail, atualize para a versão 1.5.7 ou posterior.

Para as versões 1.6.0 a 1.6.6 do Roundcube Webmail, atualize para a versão 1.6.7 ou posterior.

Como solução temporária, considere restringir o acesso às preferências do usuário para minimizar o risco de exploração.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

ALT-PU-2025-8283

BDU:2024-05163

BDU:2024-05164

CVE-2024-37384

DLA-3835-1

DSA-5714-1

USN-6848-1

Produtos afetados

Alt Linux

Linuxmint

Red Os

Roundcube Webmail

Ubuntu

Referências · 35

• 🔥 https://github.com/bartfroklage/CVE-2024-37383-POC · Exploit
• 🔥❌ https://github.com/greandfather/EXPLOIT-Roundcube-vulnerability-POC-CVE-2023-5631- · Exploit, Deleted
• https://github.com/roundcube/roundcubemail/commit/43aaaa528646877789ec028d87924ba1accf5242 · Nota
• https://github.com/roundcube/roundcubemail/commit/cde4522c5c95f13c6aeeb1600ab17e5067a536f7 · Correção
• https://github.com/roundcube/roundcubemail/releases/tag/1.6.7 · Nota
• https://github.com/roundcube/roundcubemail/releases/tag/1.5.7 · Nota
• https://github.com/roundcube/roundcubemail/commit/9ca8aa6680c579132e0d1fa59447df8d524ec91c · Nota
• https://github.com/roundcube/roundcubemail/commit/ba252dc5e2946506cb8d0b50b2b7bf95ab51876f · Nota
• https://twitter.com/CVEnew/status/1798920825929863332 · Publicação no Twitter
• https://security-tracker.debian.org/tracker/CVE-2024-37384 · Aviso do Fabricante
• https://redos.red-soft.ru/support/secure/uyazvimosti/mnozhestvennye-uyazvimosti-roundcubemail-cve-2024-37384-cve-2024-37383 · Nota
• https://habr.com/ru/companies/pt/articles/845984 · Nota
• https://lists.debian.org/debian-lts-announce/2024/06/msg00008.html · Nota
• https://ubuntu.com/security/CVE-2024-37383 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2024-05163 · Nota de Segurança