Roundcube, a webmail solution for IMAP servers, was susceptible to a cross-site-scripting (XSS) vulnerability via a crafted Cascading Style Sheets (CSS) token sequence within an SVG element or HTML message.

For Debian 7 'Wheezy', these problems have been fixed in version 0.7.2-9+deb7u6.

We recommend that you upgrade your roundcube packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

IMAPサーバー用のWebメールソリューションであるRoundcubeは、SVG要素またはHTMLメッセージ内の細工されたCascading Style Sheets（CSS）のトークンシーケンスを通じて、クロスサイトスクリプティング（XSS）の脆弱性の影響を受けやすいという問題がありました。

Debian 7「Wheezy」では、これらの問題はバージョン0.7.2-9+deb7u6で修正されました。

お使いの roundcube パッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 之前的 1.1.8 和 1.2.x 之前的 1.2.4 的 Roundcube 中的 rcube_utils.php 容易受到通过 SVG 元素中构建的层叠样式表 (CSS) 标记序列造成的跨站脚本漏洞的影响。
    (CVE-2017-6820)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

IMAP 伺服器的 webmail 解決方案 Roundcube 容易受到跨網站指令碼 (XSS) 弱點攻擊，可透過 SVG 元素或 HTML 訊息中的特製階層式樣式表 (CSS) 權杖序列發動該攻擊。針對 Debian 7「Wheezy」，這些問題已在 0.7.2-9+deb7u6 版本中修正。建議您升級 roundcube 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

IMAP 服务器的 Webmail 解决方案 Roundcube 容易受到由 SVG 元素或 HTML 消息中特制的级联样式表 (CSS) 令牌序列导致的跨站脚本 (XSS) 漏洞影响。对于 Debian 7“Wheezy”，这些问题已在 0.7.2-9+deb7u6 版本中修复。建议您升级 roundcube 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 1.1.8 之前的 Roundcube 和 1.2.x 之前的 1.2.4 中的 rcube_utils.php 容易透過 SVG 元素內的特製階層式樣式表 (CSS) token 序列受到跨網站指令碼弱點影響。
    (CVE-2017-6820)

請注意，Nessus 依賴供應商報告的套件存在。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - rcube_utils.php in Roundcube before 1.1.8 and 1.2.x before 1.2.4 is susceptible to a cross-site scripting     vulnerability via a crafted Cascading Style Sheets (CSS) token sequence within an SVG element.
    (CVE-2017-6820)

Note that Nessus relies on the presence of the package as reported by the vendor.

This update to roundcubemail 1.1.8 fixes security issues and bugs.

The following vulnerability was fixed :

  - CVE-2017-6820: XSS issue in handling of a style tag     inside of an svg element (boo#1029035)

The following bugs were fixed :

  - bug where mail content frame couldn't be reset in some     corner cases

  - regression where groups with email address were resolved     to its members' addresses

  - group/addressbook selection is retained on page refresh

  - signature couldn't be added above the quote in Firefox     51

  - microseconds macro (u) in log_date_format works

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 1.1.8 より前の Roundcube および 1.2.x より前の 1.2.4 の Roundcube の rcube_utils.php は、SVG 要素内の細工された Cascading Style SheetCSSトークンシーケンスを介して、クロスサイトスクリプティングの脆弱性に対して脆弱です。
    (CVE-2017-6820)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

このroundcubemail 1.1.8への更新では、セキュリティ問題とバグが修正されます。

次の脆弱性が修正されました：

  - CVE-2017-6820：svg要素内のスタイルタグの処理におけるXSS問題（boo#1029035）

次のバグが修正されました：

  - メールコンテンツフレームを一部のコーナーケースでリセットできないバグ

  - 電子メールアドレスを持っているグループがそのメンバーのアドレスに解決される回帰

  - グループ/アドレス帳の選択がページを更新しても保持されます

  - Firefox 51では、見積もりの上に署名を追加できませんでした

  - log_date_formatのマイクロ秒マクロ（u）が機能します

ID	Name	Product	Family	Published	Updated	Severity
97698	Debian DLA-855-1 : roundcube security update	Nessus	Debian Local Security Checks	3/14/2017	1/11/2021	medium
97698	Debian DLA-855-1: roundcubeセキュリティ更新	Nessus	Debian Local Security Checks	3/14/2017	1/11/2021	medium
255173	Linux Distros 未修补的漏洞：CVE-2017-6820	Nessus	Misc.	8/25/2025	8/25/2025	medium
97698	Debian DLA-855-1：roundcube 安全性更新	Nessus	Debian Local Security Checks	3/14/2017	1/11/2021	medium
97698	Debian DLA-855-1：roundcube 安全更新	Nessus	Debian Local Security Checks	3/14/2017	1/11/2021	medium
255173	Linux Distros 未修補的弱點：CVE-2017-6820	Nessus	Misc.	8/25/2025	8/25/2025	medium
255173	Linux Distros Unpatched Vulnerability : CVE-2017-6820	Nessus	Misc.	8/25/2025	8/25/2025	medium
97819	openSUSE Security Update : roundcubemail (openSUSE-2017-355)	Nessus	SuSE Local Security Checks	3/20/2017	1/19/2021	medium
255173	Linux Distros のパッチ未適用の脆弱性: CVE-2017-6820	Nessus	Misc.	8/25/2025	8/25/2025	medium
97819	openSUSEセキュリティ更新プログラム：roundcubemail（openSUSE-2017-355）	Nessus	SuSE Local Security Checks	3/20/2017	1/19/2021	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium