在 Round Cube Webmail (瀏覽器型多語言 IMAP 用戶端) 執行「data」和「vbscript」URL 清理的方式中，發現跨網站指令碼 (XSS) 瑕疵。遠端攻擊者可提供特製的 URL，一旦開啟該 URL，便會導致在 Round Cube Webmail 之使用者工作階段的環境中，執行任意 JavaScript、 VisualBasic 指令碼或 HTML 程式碼。

上游票證：[1] http://trac.roundcube.net/ticket/1488850

更多詳細資料：[2] http://trac.roundcube.net/attachment/ticket/1488850/RoundCube2XSS.pdf

上游修補程式：[3] https://github.com/roundcube/roundcubemail/commit/74cd0a9b62f11bc07c5a1d3ba0098b54883eb0ba

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

偵測

Fedora 18：roundcubemail-0.8.5-1.fc18 (2013-2195)

medium Nessus Plugin ID 64677

找不到變更記錄