Matei Badanoiu and LoRexxar@knownsec discovered that roundcube, a skinnable AJAX based webmail solution for IMAP servers, did not correctly process and sanitize requests. This would allow a remote attacker to perform a Cross-Side Scripting (XSS) attack leading to the execution of arbitrary code.

**RELEASE 1.4.6**

  - Installer: Fix regression in SMTP test section (#7417)

----

**RELEASE 1.4.5**

  - Fix bug in extracting required plugins from     composer.json that led to spurious error in log (#7364)

  - Fix so the database setup description is compatible with     MySQL 8 (#7340)

  - Markasjunk: Fix regression in jsevent driver (#7361)

  - Fix missing flag indication on collapsed thread in Larry     and Elastic (#7366)

  - Fix default keyservers (use keys.openpgp.org), add note     about CORS (#7373, #7367)

  - Password: Fix issue with Modoboa driver (#7372)

  - Mailvelope: Use sender's address to find pubkeys to     check signatures (#7348)

  - Mailvelope: Fix Encrypt button hidden in Elastic (#7353)

  - Fix PHP warning: count(): Parameter must be an array or     an object... in ID command handler (#7392)

  - Fix error when user-configured skin does not exist     anymore (#7271)

  - Elastic: Fix aspect ratio of a contact photo in mail     preview (#7339)

  - Fix bug where PDF attachments marked as inline could     have not been attached on mail forward (#7382)

  - **Security**: Fix a couple of XSS issues in Installer     (#7406)

  - **Security**: Fix XSS issue in template object     'username' (#7406)

  - **Security**: Better fix for CVE-2020-12641

  - **Security**: Fix cross-site scripting (XSS) via     malicious XML attachment

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

**リリース 1.4.6**

  - インストーラー：SMTPテストセクションの回帰を修正します（#7417）

----

**リリース 1.4.5**

  - compr.jsonから必要なプラグインを抽出する際に、ログで偽のエラーを引き起こすバグを修正します（#7364）

  - データベースのセットアップの説明がMySQL 8と互換性を持つように修正します（#7340）

  - Markasjunk：jseventドライバーの回帰を修正します（#7361）

  - LarryおよびElasticの折りたたまれたスレッドで欠落フラグ指示を修正します（#7366）

  - デフォルトのキーサーバーを修正し（keys.openpgp.orgを使用）、CORSに関する注記を追加します（#7373、#7367）

  - パスワード：Modoboaドライバの問題を修正します（#7372）

  - Mailveope：送信者のアドレスを使用して、署名をチェックするpubkeyを検索します（#7348）

  - Mailveope：Elasticに隠されている暗号化ボタンを修正します（#7353）

  - PHP 警告を修正します：count()：IDコマンドハンドラーのパラメーターは、配列またはオブジェクトでなければなりません（#7392）

  - ユーザーが設定したスキンがもはや存在しない場合のエラーを修正します（#7271）

  - Elastic：メールプレビューで連絡先の写真のアスペクト比を修正します（#7339）

  - インラインとしてマークされているPDF添付ファイルが、メール転送に添付されなかったバグを修正します（#7382）

  - **セキュリティ**：インストーラで幾つかのXSSの問題を修正します（#7406）

  - **セキュリティ**：テンプレートオブジェクト「ユーザー名」におけるXSSの問題を修正します（#7406）

  - **セキュリティ**：CVE-2020-12641の修正を改善

  - **セキュリティ**：悪意のあるXML添付ファイルを介したクロスサイトスクリプティング（XSS）を修正します

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Matei Badanoiu氏およびLoRexxar@knownsecは、スキン変更が可能な、IMAPサーバー向けAJAXベースのWebメールソリューションであるroundcubeは、リクエストを適切に処理およびサニタイズしないことを発見しました。これにより、リモートの攻撃者がクロスサイトスクリプティング（XSS）攻撃を実行し、任意のコードが実行される可能性があります。

Matei Badanoiu 和 LoRexxar@knownsec 發現，roundcube (一個適用於 IMAP 伺服器可換面板的 AJAX 型 webmail 解決方案) 未正確處理及清理要求。遠端攻擊者可藉此發動跨網站指令碼 (XSS) 攻擊，進而導致任意程式碼執行。

The remote Ubuntu 16.04 ESM / 18.04 ESM / 20.04 ESM / 22.04 ESM host has packages installed that are affected by multiple vulnerabilities as referenced in the USN-5182-1 advisory.

    It was discovered that Roundcube Webmail allowed JavaScript code to be present in the CDATA of an HTML     message. A remote attacker could possibly use this issue to execute a cross-site scripting (XSS) attack.
    This issue only affected Ubuntu 16.04 ESM, Ubuntu 18.04 ESM and Ubuntu 20.04 ESM. (CVE-2020-12625)

    It was discovered that Roundcube Webmail incorrectly processed login and logout POST requests. An attacker     could possibly use this issue to launch a cross-site request forgery (CSRF) attack and force an     authenticated user to be logged out. This issue only affected Ubuntu 16.04 ESM, Ubuntu 18.04 ESM and     Ubuntu 20.04 ESM. (CVE-2020-12626)

    It was discovered that Roundcube Webmail incorrectly processed new plugin names in rcube_plugin_api.php.
    An attacker could possibly use this issue to obtain sensitive information from local files or to execute     arbitrary code. This issue only affected Ubuntu 16.04 ESM, Ubuntu 18.04 ESM and Ubuntu 20.04 ESM.
    (CVE-2020-12640)

    It was discovered that Roundcube Webmail did not sanitize shell metacharacters recovered from variables in     its configuration settings. An attacker could possibly use this issue to execute arbitrary code in the     server. This issue only affected Ubuntu 16.04 ESM, Ubuntu 18.04 ESM and Ubuntu 20.04 ESM. (CVE-2020-12641)

    It was discovered that Roundcube Webmail incorrectly sanitized characters in the username template object.
    An attacker could possibly use this issue to execute a cross-site scripting (XSS) attack. This issue only     affected Ubuntu 16.04 ESM, Ubuntu 18.04 ESM and Ubuntu 20.04 ESM. (CVE-2020-13964)

    It was discovered that Roundcube Webmail allowed preview of text/html content. A remote attacker could     possibly use this issue to send a malicious XML attachment via an email message and execute a cross-site     scripting (XSS) attack. This issue only affected Ubuntu 16.04 ESM, Ubuntu 18.04 ESM and Ubuntu 20.04 ESM.
    (CVE-2020-13965)

    Andrea Cardaci discovered that Roundcube Webmail did not properly sanitize HTML special characters when     dealing with HTML messages that contained an SVG element in the XML namespace. A remote attacker could     possibly use this issue to execute a cross-site scripting (XSS) attack. This issue only affected Ubuntu     18.04 ESM and Ubuntu 20.04 ESM. (CVE-2020-15562)

    Lukasz Pilorz discovered that Roundcube Webmail did not properly sanitize HTML special characters when     dealing with HTML messages that contained SVG documents. A remote attacker could possibly use this issue     to execute a cross-site scripting (XSS) attack. This issue only affected Ubuntu 18.04 ESM and Ubuntu 20.04     ESM. (CVE-2020-16145)

    Alex Birnberg discovered that Roundcube Webmail incorrectly sanitized characters in plain text e-mail     messages that included link reference elements. A remote attacker could possibly use this issue to execute     a cross-site scripting (XSS) attack. This issue only affected Ubuntu 16.04 ESM, Ubuntu 18.04 ESM and     Ubuntu 20.04 ESM. (CVE-2020-35730)

    It was discovered that Roundcube Webmail did not properly sanitize HTML special characters in warning     messages that contained an attachment's filename extension. A remote attacker could possibly use this     issue to execute a cross-site scripting (XSS) attack. This issue only affected Ubuntu 16.04 ESM, Ubuntu     18.04 ESM and Ubuntu 20.04 ESM. (CVE-2021-44025)

    It was discovered that Roundcube Webmail incorrectly managed session variables related to search     functionalities. A remote attacker could possibly use this issue to execute a SQL injection attack. This     issue only affected Ubuntu 16.04 ESM, Ubuntu 18.04 ESM and Ubuntu 20.04 ESM. (CVE-2021-44026)

    It was discovered that Roundcube Webmail did not properly sanitize HTML special characters when dealing     with HTML messages that contained CSS content. A remote attacker could possibly use this issue to execute     a cross-site scripting (XSS) attack. This issue only affected Ubuntu 18.04 ESM, Ubuntu 20.04 ESM and     Ubuntu 22.04 ESM. (CVE-2021-46144)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

Matei Badanoiu 和 LoRexxar@knownsec 发现，用于 IMAP 服务器的基于可换肤 AJAX 的 webmail 解决方案 roundcube 未正确处理和审查请求。这允许远程攻击者执行跨站脚本 (XSS) 攻击，导致执行任意代码。

远程 Ubuntu 16.04 ESM/18.04 ESM/20.04 ESM/22.04 ESM 主机上安装的多个程序包受到 USN-5182-1 公告中提及的多个漏洞影响。

  - 在 1.4.4 之前的 Roundcube Webmail 中发现了一个问题。rcube_washtml.php 中存在跨站点脚本 (XSS) 漏洞，这是因为 JavaScript 代码可能出现在 HTML 消息的 CDATA 中。
    (CVE-2020-12625)

  - 在 1.4.4 之前的 Roundcube Webmail 中发现了一个问题。CSRF 攻击可能会导致经过身份验证的用户注销，原因是未考虑 POST。(CVE-2020-12626)

  - 1.4.4 之前的 Roundcube Webmail 允许攻击者包含本地文件，并通过目录遍历以插件名称 rcube_plugin_api.php 执行代码。(CVE-2020-12640)

  - Roundcube Webmail 1.4.4 之前版本中的 rcube_image.php 允许攻击者通过 im_convert_path 或 im_identify_path 配置设置中的 shell 元字符执行任意代码。(CVE-2020-12641)

  - 在 1.3.12 之前的 Roundcube Webmail 和 1.4.5 之前的 1.4.x 中发现了一个问题。
    include/rcmail_output_html.php 允许通过用户名模板对象发起 XSS 攻击。(CVE-2020-13964)

  - 在 1.3.12 之前的 Roundcube Webmail 和 1.4.5 之前的 1.4.x 中发现了一个问题。由于 text/xml 是预览支持的类型之一，因此可以通过恶意 XML 附件发起 XSS 攻击。(CVE-2020-13965)

  - 在 1.2.11 之前的 Roundcube Webmail、1.3.14 之前的 1.3.x 和 1.4.7 之前的 1.4.x 中发现了一个问题。
    此问题允许通过精心设计的 HTML 电子邮件消息发起 XSS 攻击，这一点已由当 SVG 元素存在时，HEAD 元素的 xmlns（又称为 XML 命名空间）属性中的 JavaScript 负载证实。(CVE-2020-15562)

  - 1.3.15 和 1.4.8 之前的 Roundcube Webmail 允许在通过精心设计的 SVG 文档，在显示消息期间在 HTML 消息中发起存储型 XSS 攻击。已在 1.4.8 和 1.3.15 中修复此问题。(CVE-2020-16145)

  - 在 1.2.13 之前的 Roundcube Webmail、1.3.16 之前的 1.3.x 和 1.4.10 之前的 1.4.x 中发现了一个 XSS 问题。攻击者可以发送纯文本电子邮件消息，其链接引用元素（被 rcube_string_replacer.php 中的 linkref_addindex 错误处理）中包含 JavaScript。(CVE-2020-35730)

  - 当显示 MIME 类型警告消息时，1.3.17 之前的 Roundcube 版本和 1.4.12 之前的 1.4.x 版本在处理附件的文件名扩展时容易受到 XSS 的影响。(CVE-2021-44025)

  - 1.3.17 之前的 Roundcube 版本和 1.4.x 之前的 1.4.12 版本容易受到通过 search 或 search_params 执行的潜在 SQL 注入的影响。(CVE-2021-44026)

  - 1.4.13 之前版本的 Roundcube 和 1.5.2 之前版本的 Roundcube 1.5.x 允许通过构建有层叠样式表 (CSS) 标记序列的 HTML 电子邮件消息来发动 XSS 攻击。(CVE-2021-46144)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Ubuntu 16.04 ESM / 18.04 ESM / 20.04 ESM / 22.04 ESM 主機上安裝的套件受到 USN-5182-1 公告中提及的多個弱點影響。

  - 在 1.4.4 之前的 Roundcube Webmail 版本中發現一個問題。rcube_washtml.php 中有一個跨網站指令碼 (XSS) 弱點，因為 JavaScript 程式碼可能發生在 HTML 訊息的 CDATA 中。
    (CVE-2020-12625)

  - 在 1.4.4 之前的 Roundcube Webmail 版本中發現一個問題。CSRF 攻擊可造成經驗證的使用者登出，因為未考慮 POST。(CVE-2020-12626)

  - 1.4.4 之前的 Roundcube Webmail 允許攻擊者透過 rcube_plugin_api.php 的 plugin 名稱中的目錄遊走，納入本機檔案並執行程式碼。(CVE-2020-12640)

  - 在 1.4.4 之前的 Roundcube Webmail 中，rcube_image.php 允許攻擊者透過 im_convert_path 或 im_identify_path 組態設定中的 shell 詮釋字元執行任意程式碼。(CVE-2020-12641)

  - 在 Roundcube Webmail 1.3.12 之前的版本和 1.4.5 之前的 1.4.x 版中發現一個問題。
    include/rcmail_output_html.php 允許攻擊者透過使用者名稱範本物件造成 XSS。(CVE-2020-13964)

  - 在 Roundcube Webmail 1.3.12 之前的版本和 1.4.5 之前的 1.4.x 版中發現一個問題。透過惡意 XML 附件存在 XSS 弱點，因為 text/xml 屬於可用於預覽的類型。(CVE-2020-13965)

  - 在 Roundcube Webmail 1.2.11 之前的版本、1.3.14 之前的 1.3.x 版和 1.4.7 之前的 1.4.x 版中發現一個問題。
    它允許攻擊者透過特製的 HTML 電子郵件訊息造成 XSS。在 SVG 元素存在的情況下，HEAD 元素的 xmlns (即 XML 命名空間) 屬性中的 JavaScript 承載即為一例。(CVE-2020-15562)

  - 1.3.15 和 1.4.8 之前的 Roundcube Webmail 允許攻擊者在訊息顯示期間透過特製的 SVG 文件，在 HTML 訊息中造成儲存式 XSS。此問題已在 1.4.8 和 1.3.15 中修正。(CVE-2020-16145)

  - 在 Roundcube Webmail 1.2.13 之前的版本、1.3.16 之前的 1.3.x 版和 1.4.10 之前的 1.4.x 版中發現一個 XSS 問題。攻擊者可傳送連結參照元素中含有 JavaScript 的純文字電子郵件訊息，該參照元素遭到 rcube_string_replacer.php 中 linkref_addindex 的不當處理。(CVE-2020-35730)

  - 顯示 MIME 類型警告訊息時，1.3.17 版之前的 Roundcube 和 1.4.12 之前的 1.4.x 版容易在處理附件的副檔名時遭到 XSS 攻擊。(CVE-2021-44025)

  - 1.3.17 版之前的 Roundcube 和 1.4.12 之前的 1.4.x 版容易受到透過 search 或 search_params 發動的潛在 SQL 注入攻擊。(CVE-2021-44026)

  - 1.4.13 版之前的 Roundcube 和 1.5.x 版之前的 1.5.2 版允許使用建構的階層式樣式表 (CSS) 權杖序列，透過 HTML 電子郵件訊息發動 XSS 攻擊。(CVE-2021-46144)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

**リリース 1.4.6**

  - インストーラー：SMTPテストセクションの回帰を修正します（#7417）

----

**リリース 1.4.5**

  - compr.jsonから必要なプラグインを抽出する際に、ログで偽のエラーを引き起こすバグを修正します（#7364）

  - データベースのセットアップの説明がMySQL 8と互換性を持つように修正します（#7340）

  - Markasjunk：jseventドライバーの回帰を修正します（#7361）

  - LarryおよびElasticの折りたたまれたスレッドで欠落フラグ指示を修正します（#7366）

  - デフォルトのキーサーバーを修正し（keys.openpgp.orgを使用）、CORSに関する注記を追加します（#7373、#7367）

  - パスワード：Modoboaドライバの問題を修正します（#7372）

  - Mailveope：送信者のアドレスを使用して、署名をチェックするpubkeyを検索します（#7348）

  - Mailveope：Elasticに隠されている暗号化ボタンを修正します（#7353）

  - PHP 警告を修正します：count()：IDコマンドハンドラーのパラメーターは、配列またはオブジェクトでなければなりません（#7392）

  - ユーザーが設定したスキンがもはや存在しない場合のエラーを修正します（#7271）

  - Elastic：メールプレビューで連絡先の写真のアスペクト比を修正します（#7339）

  - インラインとしてマークされているPDF添付ファイルが、メール転送に添付されなかったバグを修正します（#7382）

  - **セキュリティ**：インストーラで幾つかのXSSの問題を修正します（#7406）

  - **セキュリティ**：テンプレートオブジェクト「ユーザー名」におけるXSSの問題を修正します（#7406）

  - **セキュリティ**：CVE-2020-12641の修正を改善 

  - **セキュリティ**：悪意のあるXML添付ファイルを介したクロスサイトスクリプティング（XSS）を修正します

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートの Ubuntu 16.04 ESM / 18.04 ESM / 20.04 ESM / 22.04 ESM ホストにインストールされているパッケージは USN-5182-1 アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 1.4.4より前の Roundcube Webmail で問題が発見されました。HTML メッセージの CDATA に JavaScript コードが存在する可能性があるため、rcube_washtml.php にクロスサイトスクリプティング (XSS) 脆弱性があります。
    (CVE-2020-12625)

  - 1.4.4より前の Roundcube Webmail で問題が発見されました。POST が考慮されないため、CSRF 攻撃により、認証されたユーザーがログアウトされる可能性があります。 (CVE-2020-12626)

  - 1.4.4 以前の Roundcube Webmail では、攻撃者が rcube_plugin_api.php に対するプラグイン名にあるディレクトリトラバーサルを介して、ローカルファイルを含めてコードを実行する可能性があります。(CVE-2020-12640)

  - 1.4.4より前の Roundcube Webmail の rcube_image.php では、攻撃者が im_convert_path または im_identify_path の構成設定でシェルのメタ文字を介して任意のコードを実行する可能性があります。(CVE-2020-12641)

  - 1.3.12より前の Roundcube Webmail および 1.4.5 より前の 1.4.x で問題が発見されました。
    include/rcmail_output_html.php により、ユーザー名テンプレートオブジェクトを介して XSS が引き起こされる可能性があります。(CVE-2020-13964)

  - 1.3.12より前の Roundcube Webmail および 1.4.5 より前の 1.4.x で問題が発見されました。プレビューに許可されているタイプに text/xml があるため、悪意のある XML 添付ファイルを介した XSS があります。(CVE-2020-13965)

  - 1.2.11より前の Roundcube Webmail、1.3.14 より前の 1.3.x、1.4.7 より前の 1.4.xで問題が発見されました。
    これは、SVG 要素が存在する場合に HEAD 要素の xmlns (XML 名前空間) 属性の JavaScript ペイロードが示すように、細工された HTML 電子メールメッセージを介して XSS を引き起こす可能性があります。(CVE-2020-15562) 

  - 1.3.15および 1.4.8より前の Roundcube Webmail では、細工された SVG ドキュメントを介して、メッセージ表示中に、HTML メッセージで蓄積型 XSS が可能です。この問題は、1.4.8 および 1.3.15で修正されました。(CVE-2020-16145)

  - 1.2.13より前の Roundcube Webmail、1.3.16 より前の 1.3.x、1.4.10 より前の 1.4.xで XSS の問題が発見されました。攻撃者は、リンク参照要素の JavaScript が rcube_string_replacer.php の linkref_addindex によって誤って処理されると、プレーンテキストの電子メールメッセージを送信できます。(CVE-2020-35730)

  - MIME タイプの警告メッセージを表示する場合、添付ファイルのファイル名拡張子を処理する際に、1.3.17 より前、および 1.4.12 より前の 1.4.x の Roundcube は XSSに脆弱です。 (CVE-2021-44025)

  - 1.3.17 より前、および 1.4.x より前の 1.4.12 の Roundcube は、search または search_params を介した 潜在的なSQL インジェクションの影響を受けやすい状態です。 (CVE-2021-44026)

  - 1.4.13より前および 1.5.2より前の 1.5.xの Roundcube により、細工された Cascading Style Sheets (CSS) トークンシーケンスによる HTML 電子メールメッセージを介した XSS が可能になります。 (CVE-2021-46144)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存しています。

ID	Name	Product	Family	Published	Updated	Severity
137373	Debian DSA-4700-1 : roundcube - security update	Nessus	Debian Local Security Checks	6/12/2020	6/26/2024	medium
137685	Fedora 32 : roundcubemail (2020-aeffd92b77)	Nessus	Fedora Local Security Checks	6/22/2020	6/27/2024	critical
137685	Fedora 32：roundcubemail（2020-aeffd92b77）	Nessus	Fedora Local Security Checks	6/22/2020	6/27/2024	critical
137373	Debian DSA-4700-1: roundcube - セキュリティ更新	Nessus	Debian Local Security Checks	6/12/2020	6/26/2024	medium
137373	Debian DSA-4700-1：roundcube - 安全性更新	Nessus	Debian Local Security Checks	6/12/2020	6/26/2024	medium
137678	Fedora 31 : roundcubemail (2020-2a1a6a8432)	Nessus	Fedora Local Security Checks	6/22/2020	6/27/2024	critical
183111	Ubuntu 16.04 ESM / 18.04 ESM / 20.04 ESM / 22.04 ESM : Roundcube Webmail vulnerabilities (USN-5182-1)	Nessus	Ubuntu Local Security Checks	10/16/2023	9/3/2025	critical
137373	Debian DSA-4700-1：roundcube - 安全更新	Nessus	Debian Local Security Checks	6/12/2020	6/26/2024	medium
183111	Ubuntu 16.04 ESM/18.04 ESM/20.04 ESM/22.04 ESM：Roundcube Webmail 漏洞 (USN-5182-1)	Nessus	Ubuntu Local Security Checks	10/16/2023	9/3/2025	critical
183111	Ubuntu 16.04 ESM / 18.04 ESM / 20.04 ESM / 22.04 ESM：Roundcube Webmail 弱點 (USN-5182-1)	Nessus	Ubuntu Local Security Checks	10/16/2023	9/3/2025	critical
137678	Fedora 31：roundcubemail（2020-2a1a6a8432）	Nessus	Fedora Local Security Checks	6/22/2020	6/27/2024	critical
183111	Ubuntu 16.04 ESM / 18.04 ESM / 20.04 ESM / 22.04 ESM: Roundcube Webmail の脆弱性 (USN-5182-1)	Nessus	Ubuntu Local Security Checks	10/16/2023	9/3/2025	critical

Detections

Analytics

Plugins Search

medium

critical

critical

medium

medium

critical

critical

medium

critical

critical

critical

critical