CVSS: 4.3EPSS: 0%CPEs: 34EXPL: 1CVE-2012-4668 – Roundcube Webmail 0.8.0 - Persistent Cross-Site Scripting
https://notcve.org/view.php?id=CVE-2012-4668
Cross-site scripting (XSS) vulnerability in Roundcube Webmail 0.8.1 and earlier allows remote attackers to inject arbitrary web script or HTML via the signature in an email. Vulnerabilidad de ejecución de secuencias de comandos en sitios cruzados en Roundcube Webmail v0.8.1 y anteriores, permite a atacantes remotos inyectar secuencias de comandos web o HTML a través de la firma en un correo electrónico. • https://www.exploit-db.com/exploits/20549 http://sourceforge.net/news/?group_id=139281&id=309011 http://trac.roundcube.net/ticket/1488613 http://www.openwall.com/lists/oss-security/2012/08/20/2 http://www.openwall.com/lists/oss-security/2012/08/20/9 https://github.com/roundcube/roundcubemail/commit/c086978f6a91eacb339fd2976202fca9dad2ef32 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 2.6EPSS: 0%CPEs: 28EXPL: 0CVE-2012-1253
https://notcve.org/view.php?id=CVE-2012-1253
Cross-site scripting (XSS) vulnerability in Roundcube Webmail before 0.7, when Internet Explorer is used, allows remote attackers to inject arbitrary web script or HTML via vectors involving an embedded image attachment. vulnerabilidad de ejecución de secuencias de comandos en sitios cruzados (XSS) en Roundcube Webmail anteriores a v0.7, permite a atacantes remotos inyectar secuencias de comandos web o HTML a través de vectores que implican una imagen embebida adjunta. • http://jvn.jp/en/jp/JVN21422837/index.html http://jvndb.jvn.jp/jvndb/JVNDB-2012-000050 http://sourceforge.net/projects/roundcubemail/files/roundcubemail/0.7 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 5.0EPSS: 1%CPEs: 28EXPL: 0CVE-2011-4078
https://notcve.org/view.php?id=CVE-2011-4078
include/iniset.php in Roundcube Webmail 0.5.4 and earlier, when PHP 5.3.7 or 5.3.8 is used, allows remote attackers to trigger a GET request for an arbitrary URL, and cause a denial of service (resource consumption and inbox outage), via a Subject header containing only a URL, a related issue to CVE-2011-3379. inclinclude/iniset.php en Roundcube Webmail v0.5.4 y anteriores, cuando PHP v5.3.7 o v5.3.8 se utiliza, permite a atacantes remotos provocar una solicitud GET para una dirección arbitraria, y provocar una denegación de servicio (consumo de recursos y la interrupción de la bandeja de entrada), a través de un encabezado de asunto que sólo contiene una URL, un asunto relacionado con CVE-2011-3379. • http://h20000.www2.hp.com/bizsupport/TechSupport/Document.jsp?objectID=c03360041 http://openwall.com/lists/oss-security/2011/10/26/6 http://trac.roundcube.net/ticket/1488086 http://www.securityfocus.com/bid/50402 https://exchange.xforce.ibmcloud.com/vulnerabilities/71025 • CWE-399: Resource Management Errors •
CVSS: 4.3EPSS: 0%CPEs: 25EXPL: 2CVE-2011-2937
https://notcve.org/view.php?id=CVE-2011-2937
Cross-site scripting (XSS) vulnerability in the UI messages functionality in Roundcube Webmail before 0.5.4 allows remote attackers to inject arbitrary web script or HTML via the _mbox parameter to the default URI. Una vulnerabilidad de ejecución de comandos en sitios cruzados (XSS) en la funcionalidad de mensajes de interfaz de usuario en Roundcube Webmail antes de la versión v0.5.4 permite a atacantes remotos inyectar secuencias de comandos web o HTML a través del parámetro _mbox a la URI por defecto. • http://lists.apple.com/archives/security-announce/2012/Feb/msg00000.html http://sourceforge.net/news/?group_id=139281&id=302769 http://support.apple.com/kb/HT5130 http://trac.roundcube.net/browser/tags/roundcubemail/v0.5.4/CHANGELOG http://trac.roundcube.net/changeset/5037 http://trac.roundcube.net/ticket/1488030 http://www.openwall.com/lists/oss-security/2011/08/18/5 http://www.openwall.com/lists/oss-security/2011/08/19/15 http://www.securityfocus.com/bid/49229 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 5.5EPSS: 0%CPEs: 22EXPL: 0CVE-2011-1492
https://notcve.org/view.php?id=CVE-2011-1492
steps/utils/modcss.inc in Roundcube Webmail before 0.5.1 does not properly verify that a request is an expected request for an external Cascading Style Sheets (CSS) stylesheet, which allows remote authenticated users to trigger arbitrary outbound TCP connections from the server, and possibly obtain sensitive information, via a crafted request. steps/utils/modcss.inc en Roundcube Webmail anterior a v0.5.1 no comprueba correctamente que una solicitud es una solicitud esperada para una hoja de estilo externa (Cascading Style Sheets), permitiendo a usuarios remotos autenticados lanzar conexiones arbitrarias salientes TCP desde el servidor , y posiblemente obtener información sensible, a través de una solicitud manipulada. • http://openwall.com/lists/oss-security/2011/03/24/3 http://openwall.com/lists/oss-security/2011/03/24/4 http://openwall.com/lists/oss-security/2011/04/04/50 http://secunia.com/advisories/44050 http://trac.roundcube.net/changeset/4488 http://trac.roundcube.net/wiki/Changelog https://exchange.xforce.ibmcloud.com/vulnerabilities/66613 • CWE-20: Improper Input Validation •