PT-2025-51991 · Roundcube+4 · Roundcube Webmail+4

Valentin T · Publicado 2025-12-13 · Atualizado 2026-04-01 · CVE-2025-68461

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Roundcube anteriores à 1.5.12 Versões do Roundcube anteriores à 1.6.12

Descrição O Roundcube Webmail contém uma vulnerabilidade de Cross-Site Scripting (XSS) decorrente do uso da tag animate em documentos SVG. Isso permite que atacantes executem scripts maliciosos. Adicionalmente, existe uma vulnerabilidade de Divulgação de Informações no sanitizador de estilo HTML. A vulnerabilidade está sendo ativamente explorada e pode levar à tomada de controle de contas de e-mail. Não há informações disponíveis sobre o número de dispositivos afetados.

Recomendações As versões do Roundcube anteriores à 1.5.12 devem ser atualizadas para a versão 1.5.12 ou posterior. As versões do Roundcube anteriores à 1.6.12 devem ser atualizadas para a versão 1.6.12 ou posterior.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

BDU:2026-03414

CVE-2025-68461

DLA-4415-1

DSA-6087-1

MGASA-2025-0332

OPENSUSE-SU-2026:20323-1

USN-8097-1

Produtos afetados

Debian

Linuxmint

Red Os

Roundcube Webmail

Ubuntu

Referências · 88

• https://github.com/roundcube/roundcubemail/commit/bfa032631c36b900e7444dfa278340b33cbf7cdb · Correção, Nota de Segurança
• https://github.com/roundcube/roundcubemail/releases/tag/1.6.12 · Nota
• https://bugzilla.suse.com/1255306 · Nota
• https://twitter.com/transilienceai/status/2025412977080389804 · Publicação no Twitter
• https://twitter.com/Saints16294225/status/2025922895797526946 · Publicação no Twitter
• https://twitter.com/Saints16294225/status/2026022722820604013 · Publicação no Twitter
• https://osv.dev/vulnerability/DSA-6087-1 · Aviso do Fabricante
• https://roundcube.net/news/2025/12/13/security-updates-1.6.12-and-1.5.12 · Aviso do Fabricante, Nota de Segurança
• https://cisa.gov/known-exploited-vulnerabilities-catalog · Nota
• https://t.me/avleonovcom/1626 · Publicação no Telegram
• https://redos.red-soft.ru/search/?iblock_id=24&q=CVE-2025-68461 · Nota
• https://twitter.com/TheExploitLab/status/2003689515899310591 · Publicação no Twitter
• https://redos.red-soft.ru/support/secure/uyazvimosti/support/secure/uyazvimosti-red-os-8-0/uyazvimost-roundcubemail-cve-2025-68461-8.0 · Nota
• https://twitter.com/StrongKeepCyber/status/2026235810341687769 · Publicação no Twitter
• https://ubuntu.com/security/CVE-2025-68461 · Aviso do Fabricante