リモートの Debian 10 ホストには、dla-3630 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 1.3.15および 1.4.8より前の Roundcube Webmail では、細工された SVG ドキュメントを介して、メッセージ表示中に、HTML メッセージで蓄積型 XSS が可能です。この問題は、1.4.8 および 1.3.15で修正されました。(CVE-2020-16145)

  - 1.4.15 以前の Roundcube、1.5.5 より前の 1.5.x、および 1.6.4 より前の 1.6.x では、細工された SVG ドキュメントを含む HTML メールのメッセージを介して、蓄積型 XSS を引き起こす可能性があります。これは、program/lib/Roundcube/rcube_washtml.php の動作が原因です。これにより、リモートの攻撃者が任意の JavaScript コードを読み込む可能性があります。(CVE-2023-5631)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Debian DLA-3630-1 : roundcube - LTS セキュリティ更新

medium Nessus プラグイン ID 183837

バージョン 1.2