CVE-2020-13965
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Prioriza la corrección. Ella está bajo explotación confirmada por CISA y tiene prueba de concepto pública.
Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
Roundcube Webmail permitía que atacantes inyectaran scripts maliciosos a través de la vista previa de archivos XML. Un atacante podría enviar un archivo XML manipulado que ejecutara código en el navegador de la víctima al ser visualizado.
Vulnerabilidad XSS en Roundcube Webmail versiones anteriores a 1.3.12 y 1.4.5 en la funcionalidad de vista previa de adjuntos, donde el tipo MIME text/xml era permitido sin sanitización adecuada. Vector de ataque es por correo electrónico; atacante crea XML malicioso con scripts incrustados y lo envía como adjunto; víctima visualiza el adjunto en Roundcube, disparando ejecución de script en el contexto de la sesión.
El análisis completo de esta CVE está disponible en portugués →