ブラウザベースの多言語 IMAP クライアントの Round Cube Webmail が「データ」および「vbscript」URLのサニタイズを行う過程において、クロスサイトスクリプティング（XSS）の欠陥が見つかりました。リモートの攻撃者は特別に細工された URL を提供することができます。この URL が開かれると、任意の JavaScript、VisualBasic スクリプトまたは HTML コードが Round Cube Webmail のユーザーセッションのコンテキストで実行されることがあります。

Upstream チケット：[1] http://trac.roundcube.net/ticket/1488850

詳細情報：[2] http://trac.roundcube.net/attachment/ticket/1488850/RoundCube2XSS.pdf

Upstream パッチ：[3] https://github.com/roundcube/roundcubemail/commit/74cd0a9b62f11bc07c5a1d3ba0098b54883eb0ba

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

検出

Fedora 18：roundcubemail-0.8.5-1.fc18（2013-2195）

medium Nessus プラグイン ID 64677

変更ログが見つかりません