Vulnérabilité dans Roundcube

Date de publication :

Une vulnérabilité a été découverte dans Roundcube, client web de messagerie mail. Un attaquant distant peut exécuter du code Javascript arbitraire sur le navigateur web d’un utilisateur (XSS). 

CVE-2020-15562 [Score CVSS v3 : 6.1] : Une vulnérabilité de type “cross-site scripting” (XSS) a été découverte dans Roundcube. Un attaquant distant peut exécuter du code JavaScript arbitraire sur le navigateur web d’un utilisateur via un message HTML spécialement conçu. Une telle attaque peut résulter en une fuite de données sensibles ou une exécution d’actions arbitraires.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Exécution de code JavaScript arbitraire sur le navigateur d’un utilisateur (XSS)

Criticité

  • Score CVSS v3 : 6.1

Existence d’un code d’exploitation

  • Aucun code d’exploitation n’est disponible publiquement à ce jour

Composants vulnérables

  • Roundcube 1.2 avant la version 1.2.11
  • Roundcube 1.3 avant la version 1.3.14
  • Roundcube 1.4 avant la version 1.4.7

CVE

  • CVE-2020-15562

Solutions ou recommandations

Mise en place de correctifs de sécurité

  • Mettre à jour Roundcube vers une version non-vulnérable (voir la section “Composants vulnérables”)

Solution de contournement

  • Aucune solution de contournement n’est disponible

Liens