在 webmail 應用程式 SquirrelMail 中發現多種弱點。Common Vulnerabilities and Exposures 專案發現下列弱點：

- CVE-2010-4554 SquirrelMail 未防止在第三方 HTML 框架內進行頁面轉譯，其可使遠端攻擊者更容易透過特製網站，發動點擊劫持攻擊。

- CVE-2010-4555、CVE-2011-2752、CVE-2011-2753 SquirrelMail 中有多個小錯誤，允許攻擊者將惡意指令碼插入各種頁面，或者更改使用者偏好設定的內容。

- CVE-2011-2023 可以在電子郵件訊息中的 HTML 部分利用特製的 STYLE 元素，插入任意 web 指令碼或 HTML。

現已提供適用於 Red Hat Enterprise Linux 4 和 5 的更新版 squirrelmail 套件，可修正數個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

SquirrelMail 是以 PHP 撰寫的標準式 Webmail 套件。

SquirrelMail 執行 HTML 樣式標籤內容的清理時，發現了跨網站指令碼 (XSS) 瑕疵。遠端攻擊者可利用此瑕疵傳送特製的多用途網際網路郵件延伸標準 (MIME) 訊息，受害者開啟它時，會導致在其 SquirrelMail 工作階段內容中執行任意 Web 指令碼。(CVE-2011-2023)

在 SquirrelMail 中發現多個跨網站指令碼 (XSS) 瑕疵。
遠端攻擊者可能會利用這些瑕疵，在受害者的 SquirrelMail 工作階段內容中執行任意 Web 指令碼。
(CVE-2010-4555)

在 SquirrelMail 處理多種 HTML 輸入欄位之內容的方式中發現一個輸入清理瑕疵。遠端攻擊者可利用此瑕疵，透過這些欄位輸入中所包含的新行字元，改變使用者喜好設定值。(CVE-2011-2752)

據發現，SquirrelMail Empty Trash 和 Index Order 頁面未有效防止跨網站要求偽造 (CSRF) 攻擊。如果遠端攻擊者誘騙登入 SquirrelMail 的使用者造訪特製的 URL，攻擊者可清空受害者的 trash 資料夾，或改變訊息索引頁上的欄順序。(CVE-2011-2753)

允許 SquirrelMail 載入至 HTML 子框架，會導致遠端攻擊者對已登入的使用者執行點擊劫持攻擊，並可能取得敏感使用者資料的存取權。利用此項更新，SquirrelMail 主框架僅可載入至最頂端的瀏覽器框架。(CVE-2010-4554)

在 SquirrelMail 處理登入失敗嘗試的方式中發現一個瑕疵。嘗試以內含 8 位元字元之密碼登入時，即便使用者名稱無效，仍會建立使用者喜好設定檔案。遠端攻擊者可利用此瑕疵，最終消耗目標 SquirrelMail 伺服器上的所有硬碟空間。
(CVE-2010-2813)

在 SquirrelMail Mail Fetch 外掛程式中發現一個瑕疵。如果系統管理員啟用了此外掛程式，SquirrelMail 使用者可將此瑕疵用於連接埠，在開啟伺服器時掃描本機網路。(CVE-2010-1637)

SquirrelMail 的使用者應升級至此更新版套件，其中包含可更正這些問題的反向移植修補程式。

SquirrelMail 是以 PHP 撰寫的標準式 Webmail 套件。

SquirrelMail 執行 HTML 樣式標籤內容的清理時，發現了跨網站指令碼 (XSS) 瑕疵。遠端攻擊者可利用此瑕疵傳送特製的多用途網際網路郵件延伸標準 (MIME) 訊息，受害者開啟它時，會導致在其 SquirrelMail 工作階段內容中執行任意 Web 指令碼。(CVE-2011-2023)

在 SquirrelMail 中發現多個跨網站指令碼 (XSS) 瑕疵。
遠端攻擊者可能會利用這些瑕疵，在受害者的 SquirrelMail 工作階段內容中執行任意 Web 指令碼。
(CVE-2010-4555)

在 SquirrelMail 處理多種 HTML 輸入欄位之內容的方式中發現一個輸入清理瑕疵。遠端攻擊者可利用此瑕疵，透過這些欄位輸入中所包含的新行字元，改變使用者喜好設定值。(CVE-2011-2752)

據發現，SquirrelMail Empty Trash 和 Index Order 頁面未有效防止跨網站要求偽造 (CSRF) 攻擊。如果遠端攻擊者誘騙登入 SquirrelMail 的使用者造訪特製的 URL，攻擊者可清空受害者的 trash 資料夾，或改變訊息索引頁上的欄順序。(CVE-2011-2753)

允許 SquirrelMail 載入至 HTML 子框架，會導致遠端攻擊者對已登入的使用者執行點擊劫持攻擊，並可能取得敏感使用者資料的存取權。利用此項更新，SquirrelMail 主框架僅可載入至最頂端的瀏覽器框架。(CVE-2010-4554)

在 SquirrelMail 處理登入失敗嘗試的方式中發現一個瑕疵。嘗試以內含 8 位元字元之密碼登入時，即便使用者名稱無效，仍會建立使用者喜好設定檔案。遠端攻擊者可利用此瑕疵，最終消耗目標 SquirrelMail 伺服器上的所有硬碟空間。
(CVE-2010-2813)

在 SquirrelMail Mail Fetch 外掛程式中發現一個瑕疵。如果系統管理員啟用了此外掛程式，SquirrelMail 使用者可將此瑕疵用於連接埠，在開啟伺服器時掃描本機網路。(CVE-2010-1637)

SquirrelMail 的使用者應升級至此更新版套件，其中包含可更正這些問題的反向移植修補程式。

來自 Red Hat 安全性公告 2012:0103：

現已提供適用於 Red Hat Enterprise Linux 4 和 5 的更新版 squirrelmail 套件，可修正數個安全性問題。

Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

SquirrelMail 是以 PHP 撰寫的標準式 Webmail 套件。

SquirrelMail 執行 HTML 樣式標籤內容的清理時，發現了跨網站指令碼 (XSS) 瑕疵。遠端攻擊者可利用此瑕疵傳送特製的多用途網際網路郵件延伸標準 (MIME) 訊息，受害者開啟它時，會導致在其 SquirrelMail 工作階段內容中執行任意 Web 指令碼。(CVE-2011-2023)

在 SquirrelMail 中發現多個跨網站指令碼 (XSS) 瑕疵。
遠端攻擊者可能會利用這些瑕疵，在受害者的 SquirrelMail 工作階段內容中執行任意 Web 指令碼。
(CVE-2010-4555)

在 SquirrelMail 處理多種 HTML 輸入欄位之內容的方式中發現一個輸入清理瑕疵。遠端攻擊者可利用此瑕疵，透過這些欄位輸入中所包含的新行字元，改變使用者喜好設定值。(CVE-2011-2752)

據發現，SquirrelMail Empty Trash 和 Index Order 頁面未有效防止跨網站要求偽造 (CSRF) 攻擊。如果遠端攻擊者誘騙登入 SquirrelMail 的使用者造訪特製的 URL，攻擊者可清空受害者的 trash 資料夾，或改變訊息索引頁上的欄順序。(CVE-2011-2753)

允許 SquirrelMail 載入至 HTML 子框架，會導致遠端攻擊者對已登入的使用者執行點擊劫持攻擊，並可能取得敏感使用者資料的存取權。利用此項更新，SquirrelMail 主框架僅可載入至最頂端的瀏覽器框架。(CVE-2010-4554)

在 SquirrelMail 處理登入失敗嘗試的方式中發現一個瑕疵。嘗試以內含 8 位元字元之密碼登入時，即便使用者名稱無效，仍會建立使用者喜好設定檔案。遠端攻擊者可利用此瑕疵，最終消耗目標 SquirrelMail 伺服器上的所有硬碟空間。
(CVE-2010-2813)

在 SquirrelMail Mail Fetch 外掛程式中發現一個瑕疵。如果系統管理員啟用了此外掛程式，SquirrelMail 使用者可將此瑕疵用於連接埠，在開啟伺服器時掃描本機網路。(CVE-2010-1637)

SquirrelMail 的使用者應升級至此更新版套件，其中包含可更正這些問題的反向移植修補程式。

ID	名稱	產品	系列	已發布	已更新	嚴重性
55776	Debian DSA-2291-1：squirrelmail - 多種弱點	Nessus	Debian Local Security Checks	2011/8/9	2021/1/11	medium
57864	CentOS 4 / 5 : squirrelmail (CESA-2012:0103)	Nessus	CentOS Local Security Checks	2012/2/9	2021/1/4	medium
61240	Scientific Linux 安全性更新：SL4.x、SL5.x 上的 squirrelmail	Nessus	Scientific Linux Local Security Checks	2012/8/1	2021/1/14	medium
68452	Oracle Linux 4 / 5 : squirrelmail (ELSA-2012-0103)	Nessus	Oracle Linux Local Security Checks	2013/7/12	2021/1/14	medium
57870	RHEL 4 / 5 : squirrelmail (RHSA-2012:0103)	Nessus	Red Hat Local Security Checks	2012/2/9	2021/1/14	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium