CVE-2023-5631
Orta CISA KEV: Aktif İstismarTeknik Veri (Otomatik)
- CVSS Skoru
- 6.1
- EPSS
- 75.9%
- CWE
- CWE-79
- KEV Durumu
- Evet
Yayım tarihi: 18 Ekim 2023 · CISA KEV son iyileştirme tarihi: 16 Kasım 2023
Etkilenen: roundcube webmail
1.4.15'den önceki Roundcube, 1.5.5'den önceki 1.5.x ve 1.6.4'den önceki 1.6.x sürümleri, program/lib/Roundcube/rcube_washtml.php davranışından dolayı, işlenmiş bir SVG belgesiyle bir HTML e-posta mesajı aracılığıyla depolanan XSS'ye izin verir. Bu, uzaktaki bir saldırganın keyfi JavaScript kodunu yüklemesine olanak tanır.
Orijinal açıklama (İngilizce)
Roundcube before 1.4.15, 1.5.x before 1.5.5, and 1.6.x before 1.6.4 allows stored XSS via an HTML e-mail message with a crafted SVG document because of program/lib/Roundcube/rcube_washtml.php behavior. This could allow a remote attacker to load arbitrary JavaScript code.
Referanslar
- http://www.openwall.com/lists/oss-security/2023/11/01/1
- http://www.openwall.com/lists/oss-security/2023/11/01/3
- http://www.openwall.com/lists/oss-security/2023/11/17/2
- https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=1054079
- https://github.com/roundcube/roundcubemail/commit/41756cc3331b495cc0b71886984474dc529dd31d
- https://github.com/roundcube/roundcubemail/commit/6ee6e7ae301e165e2b2cb703edf75552e5376613
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.