Roundcube reports :

We just published updates to both stable versions 1.0 and 1.1 after fixing many minor bugs and adding some security improvements to the 1.1 release branch. Version 1.0.6 comes with cherry-picked fixes from the more recent version to ensure proper long term support especially in regards of security and compatibility. The security-related fixes in particular are : * XSS vulnerability in _mbox argument * security improvement in contact photo handling * potential info disclosure from temp directory

**Release 1.1.2**

  - Add new plugin hook 'identity_create_after' providing     the ID of the inserted identity (#1490358)

    - Add option to place signature at bottom of the quoted       text even in top-posting mode [sig_below]

    - Fix handling of %-encoded entities in mailto: URLs       (#1490346)

    - Fix zipped messages downloads after selecting all       messages in a folder (#1490339)

    - Fix vpopmaild driver of password plugin

    - Fix PHP warning: Non-static method       PEAR::setErrorHandling() should not be called       statically (#1490343)

    - Fix tables listing routine on mysql and postgres so it       skips system or other database tables and views       (#1490337)

    - Fix message list header in classic skin on window       resize in Internet Explorer (#1490213)

    - Fix so text/calendar parts are listed as attachments       even if not marked as such (#1490325)

    - Fix lack of signature separator for plain text       signatures in html mode (#1490352)

    - Fix font artifact in Google Chrome on Windows       (#1490353)

    - Fix bug where forced extwin page reload could exit       from the extwin mode (#1490350)

    - Fix bug where some unrelated attachments in       multipart/related message were not listed (#1490355)

    - Fix mouseup event handling when dragging a list record       (#1490359)

    - Fix bug where preview_pane setting wasn't always saved       into user preferences (#1490362)

    - Fix bug where messages count was not updated after       message move/delete with skip_deleted=false (#1490372)

    - Fix security issue in contact photo handling       (#1490379)

    - Fix possible memcache/apc cache data consistency       issues (#1490390)

    - Fix bug where imap_conn_options were ignored in IMAP       connection test (#1490392)

    - Fix bug where some files could have 'executable'       extension when stored in temp folder (#1490377)

    - Fix attached file path unsetting in       database_attachments plugin (#1490393)

    - Fix issues when using moduserprefs.sh without --user       argument (#1490399)

    - Fix potential info disclosure issue by protecting       directory access (#1490378)

    - Fix blank image in html_signature when saving identity       changes (#1490412)

    - Installer: Use openssl_random_pseudo_bytes() (if       available) to generate des_key (#1490402)

    - Fix XSS vulnerability in _mbox argument handling       (#1490417)

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

**リリース 1.1.2**

- 挿入される識別の ID を提供する新しいプラグインフック「identity_create_after」を追加します（#1490358）

- top-posting モードでも、引用されるテキストの下部に署名を配置するオプションを追加します [sig_below]

- mailto: URL の % エンコードされたエンティティの処理を修正します（#1490346）

- フォルダで全てのメッセージを選択した後の圧縮されたメッセージのダウンロードを修正します（#1490339）

- パスワードプラグインの vpopmaild ドライバーを修正します

- PHP 警告を修正します：静的でないメソッド PEAR::setErrorHandling() を静的に呼び出すべきでない（#1490343）

- mysql および postgres のルーチンをリストするテーブルが、システムや他のデータベースのテーブルとビューをスキップするように修正します（#1490337）

- Internet Explorer でのウィンドウサイズ変更で、クラシックスキンのメッセージリストのヘッダーを修正します（#1490213）

- テキスト/カレンダー部分が添付としてマークされていなくても、添付としてリストされるように修正します（#1490325）

- html モードでの平文署名の署名セパレータの欠如を修正します（#1490352）

- Windows 上の Google Chrome におけるフォントのアーチファクトを修正します（#1490353）

- extwin ページのリロードを強制すると extwin モードが終了する可能性のあるバグを修正します（#1490350）

- マルチパート/関連メッセージの一部の無関係な添付がリストされないバグを修正します（#1490355）

- リストレコードをドラッグする際のマウスアップのイベント処理を修正します（#1490359）

- preview_pane 設定が、必ずしもユーザープリファレンスに保存されないバグを修正（#1490362）

- skip_deleted=false として、メッセージを移動/削除した後、メッセージの数が更新されないバグを修正（#1490372）

- 連絡先の写真の処理に関するセキュリティ問題を修正（#1490379）

- memcache/apc キャッシュデータに起こり得る一貫性の問題を修正（#1490390）

- imap_conn_options が IMAP 接続テストで無視されるバグを修正（#1490392）

- 一時フォルダに保存する際に、一部のファイルが｢実行ファイル｣の拡張子を持つ可能性があるバグを修正（#1490377）

- database_attachments プラグインで添付ファイルのパスが未設定であることを修正（#1490393）

- moduserprefs.sh を --user 引数なしで使用する場合の問題を修正（#1490399）

- ディレクトリアクセスを保護することで、情報漏洩の問題の可能性を修正（#1490378）

- 識別変更を保存時の html_signature でのブランク画像を修正（#1490412）

- インストーラー：openssl_random_pseudo_bytes()（可能な場合）を使用して、des_key を生成（#1490402）

- _mbox 引数処理の XSS 脆弱性を修正（#1490417）

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Roundcube による報告：

多くの軽微なバグを修正し、1.1 リリースのブランチにいくつかのセキュリティの改善を追加した後、1.0 および 1.1 の両方の安定バージョンに対する更新を公開したばかりです。バージョン 1.0.6 には、より新しいバージョンから慎重に選んだ修正が付属しており、特にセキュリティおよび互換性に関して、十分に長期的なサポートを保証しています。特に、セキュリティに関連する修正：* _mbox 引数の XSS 脆弱性、*連絡先の写真の処理でのセキュリティの改善、*一時ディレクトリからの情報漏洩の可能性

**版本 1.1.2**

- 添加新的插件挂钩“identity_create_after”，提供插入身份的 ID (#1490358)

- 添加将签名置于引用文本的底部的选项（即使在置顶模式下亦如此）[sig_below]

- 修复 mailto: URL 中的 % 编码实体处理 (#1490346)

- 修复选定文件夹中所有消息后的压缩消息下载问题 (#1490339)

- 修复密码插件的 vpopmaild 驱动程序

- 修复 PHP 警告：不应静态调用非静态方法 PEAR::setErrorHandling() (#1490343)

- 修复在 mysql 和 postgres 上列出例程的表，从而跳过系统或其他数据库表和视图 (#1490337)

- 修复窗口经典皮肤中的消息列表标头在 Internet Explorer 中调整大小的问题 (#1490213)

- 修复漏洞，将文本/日历部分列为附件（即使没有这样标记）(#1490325)

- 修复 html 模式下纯文本签名缺少签名分隔符的情况 (#1490352)

- 修复 Windows 上 Google Chrome 中的字体构件 (#1490353)

- 修复强制的 extwin 页面重新加载可从 extwin 模式退出这一缺陷 (#1490350)

- 修复未显示多部分/相关消息中某些不相关附件这一缺陷 (#1490355)

- 修复拖动列表记录时的鼠标松开事件的处理 (#1490359)

- 修复 preview_pane 设置未始终保存在用户首选项中这一缺陷 (#1490362)

- 修复使用 skip_deleted=false 移动/删除消息后消息计数未更新这一缺陷 (#1490372)

- 修复联系人头像处理中的安全问题 (#1490379)

- 修复可能的 memcache/apc 缓存数据一致性问题 (#1490390)

- 修复 IMAP 连接测试忽略 imap_conn_options 这一缺陷 (#1490392)

- 修复某些文件存储在临时文件夹时具备“可执行”扩展这一缺陷 (#1490377)

- 修复 database_attachments 插件中未设置附带文件路径的问题 (#1490393)

- 修复使用不包含 --user 参数的 moduserprefs.sh 时出现的问题 (#1490399)

- 修复通过保护目录访问所致的潜在信息泄露问题 (#1490378)

- 修复保存身份变更时 html_signature 中的空白图像 (#1490412)

- 安装程序：使用 openssl_random_pseudo_bytes()（如果可用）生成 des_key (#1490402)

- 修复 _mbox 参数处理中的 XSS 漏洞 (#1490417)

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

**版本 1.1.2**

- 新增外掛程式勾點 'identity_create_after'，以提供所插入之身分的 ID (#1490358)

- 新增選項，即使處於原文上方模式，仍可將簽章置於引述文字的底部 [sig_below]

- 修正對於 mailto: URL 中 %-encoded 實體的處理 (#1490346)

- 修正選取資料夾中所有訊息後壓縮的訊息下載 (#1490339)

- 修正密碼外掛程式的 vpopmaild 驅動程式

- 修正 PHP 警告：非靜態方法 PEAR::setErrorHandling() 不得以靜態方式呼叫 (#1490343)

- 修正在 mysql 和 postgres 上列出常式的表格，現會略過系統或其他資料庫表格與檢視 (#1490337)

- 修正在 Internet Explorer 中調整視窗大小時傳統面板中的訊息清單標頭 (#1490213)

- 修正後即使未標示為附件，系統仍會將文字/行事曆部分列為附件 (#1490325)

- 修正 html 模式下缺少的純文字簽章分隔符號 (#1490352)

- 修正 Windows 版 Google Chrome 中的字型成品 (#1490353)

- 修正強制執行的 extwin 頁面重新載入可從 extwin 模式結束的錯誤 (#1490350)

- 修正在 multipart/相關訊息中未列出部分不相關附件的錯誤 (#1490355)

- 修正拖曳清單記錄時的 mouseup 事件處理 (#1490359)

- 修正 preview_pane 設定有時未儲存至使用者偏好設定的錯誤 (#1490362)

- 修正使用 skip_deleted=false 移動/刪除訊息後未更新訊息計數的錯誤 (#1490372)

- 修正連絡人相片處理中的安全性問題 (#1490379)

- 修正潛在的 memcache/apc 快取資料一致性問題 (#1490390)

- 修正 imap_conn_options 在 IMAP 連線測試中遭到忽略的錯誤 (#1490392)

- 修正部分檔案儲存到暫存資料夾時可能有「可執行檔」副檔名的錯誤 (#1490377)

- 修正 database_attachments 外掛程式中的附加檔案路徑取消設定 (#1490393)

- 修正不搭配 --user 引數使用 moduserprefs.sh 時的問題 (#1490399)

- 透過保護目錄存取修正可能發生的資訊洩漏問題 (#1490378)

- 修正儲存身分變更時的 html_signature 空白影像 (#1490412)

- 安裝程式：使用 openssl_random_pseudo_bytes() (如果有) 來產生 des_key (#1490402)

- 修正 _mbox 引數處理中的 XSS 弱點 (#1490417)

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Roundcube 報告：

修正多個輕微錯誤，並新增部分安全性改善功能至 1.1 版本分支之後，我們隨即發佈 1.0 和 1.1 穩定版本的更新。1.0.6 版隨附從最近版本精選的修正，確保達到適當的長期支援成效，特別是安全性和相容性部分。尤其是安全性相關的修正：* _mbox 引數中的 XSS 弱點* 連絡人相片處理的安全性改善 * 暫存目錄的潛在資訊洩漏問題

Roundcube 报告：

在对 1.1 版本分支修复了许多次要缺陷和添加了一些安全改进后，我们刚刚发布了稳定版本 1.0 和 1.1 的更新。版本 1.0.6 随附了较新版本的优选补丁，用于确保正确的长期支持，尤其是安全性和兼容性方面。特别的安全相关补丁包括：* _mbox 参数中的 XSS 漏洞 * 联系人照片处理方面的安全改进 * temp 目录可能的信息泄露

ID	名前	製品	ファミリー	公開日	更新日	深刻度
84600	FreeBSD : roundcube -- multiple vulnerabilities (038a5808-24b3-11e5-b0c8-bf4d8935d4fa)	Nessus	FreeBSD Local Security Checks	2015/7/8	2021/1/6	high
85058	Fedora 22 : roundcubemail-1.1.2-1.fc22 (2015-11405)	Nessus	Fedora Local Security Checks	2015/7/29	2021/1/11	high
85059	Fedora 21 : roundcubemail-1.1.2-1.fc21 (2015-11469)	Nessus	Fedora Local Security Checks	2015/7/29	2021/1/11	high
85058	Fedora 22：roundcubemail-1.1.2-1.fc22（2015-11405）	Nessus	Fedora Local Security Checks	2015/7/29	2021/1/11	high
85059	Fedora 21：roundcubemail-1.1.2-1.fc21（2015-11469）	Nessus	Fedora Local Security Checks	2015/7/29	2021/1/11	high
84600	FreeBSD：roundcube -- 複数の脆弱性（038a5808-24b3-11e5-b0c8-bf4d8935d4fa）	Nessus	FreeBSD Local Security Checks	2015/7/8	2021/1/6	high
85059	Fedora 21：roundcubemail-1.1.2-1.fc21 (2015-11469)	Nessus	Fedora Local Security Checks	2015/7/29	2021/1/11	high
85058	Fedora 22：roundcubemail-1.1.2-1.fc22 (2015-11405)	Nessus	Fedora Local Security Checks	2015/7/29	2021/1/11	high
85058	Fedora 22：roundcubemail-1.1.2-1.fc22 (2015-11405)	Nessus	Fedora Local Security Checks	2015/7/29	2021/1/11	high
85059	Fedora 21：roundcubemail-1.1.2-1.fc21 (2015-11469)	Nessus	Fedora Local Security Checks	2015/7/29	2021/1/11	high
84600	FreeBSD：roundcube -- 多個弱點 (038a5808-24b3-11e5-b0c8-bf4d8935d4fa)	Nessus	FreeBSD Local Security Checks	2015/7/8	2021/1/6	high
84600	FreeBSD：roundcube -- 多种漏洞 (038a5808-24b3-11e5-b0c8-bf4d8935d4fa)	Nessus	FreeBSD Local Security Checks	2015/7/8	2021/1/6	high

検出

プラグインの検索

high

high

high

high

high

high

high

high

high

high

high

high