跳到主要内容

中危

Roundcube Webmail安全漏洞(CVE-2023-43770)

2023-09-22 00:00:00 公开 ，2026-02-27 09:44:30 更新

  • CISA KEV
  • 关键漏洞
  • 勒索软件漏洞
  • 远程
  • 无需认证
  • CWE Top 25 (2023)
  • 开源组件漏洞
  • CWE Top 25 (2024)
  • 公开PoC
CWEs：
CWE-79 （Cross-site Scripting）
SSVC：
可利用状态：已被积极利用攻击自动化：否技术影响评估：部分 2024-05-02 02:43:07

风险信息

CVSS v3 向量
AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
CVSS v3 风险值
6.1
CVSS v3.1 向量
AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
CVSS v3.1 风险值
6.1

详细信息

漏洞类型
其他
漏洞描述
Roundcube Webmail是一款基于浏览器的开源IMAP客户端，它支持地址薄管理、信息搜索、拼写检查等。Roundcube Webmail 1.4.14 之前版本、1.5.4 之前版本 1.6.3 之前版本存在安全漏洞，该漏洞源于program/lib/Roundcube/rcube_string_replacer.php中存在安全问题，允许带有精心设计的链接通过文本或纯电子邮件消息进行XSS。
修复建议
升级到1.6.3或更高版本，有关修补程序、升级或建议的解决方法信息，请参阅： https://roundcube.net/news/2023/09/15/security-update-1.6.3-released

参考链接