CVE-2023-43770mediumbajo ataqueCWE-79

CVE-2023-43770

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Webmail+ Monitorear roundcube

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

77Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA y tiene prueba de concepto pública.

ssvc Actcvss 6.1epss 64%
de la publicación al arma5 días
Publicada en NVD22 sept
1ª PoC+5d
CISA KEV+143d
Acción exigida por CISAplazo federal: 2024-03-04

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

En resumen

Roundcube permite que atacantes inyecten scripts maliciosos mediante enlaces especiales en correos en texto plano, que pueden ejecutarse en el navegador del usuario y robar credenciales o realizar acciones no autorizadas.

Detalle técnico

Vulnerabilidad de cross-site scripting (XSS) en rcube_string_replacer.php afecta versiones de Roundcube anteriores a 1.4.14, 1.5.4 y 1.6.3. Los atacantes pueden insertar enlaces maliciosos en mensajes de correo text/plain que eludan la sanitización, permitiendo la ejecución de scripts en el contexto del navegador de la víctima al visualizar el correo.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Roundcube before 1.4.14, 1.5.x before 1.5.4, and 1.6.x before 1.6.3 allows XSS via text/plain e-mail messages with crafted links because of program/lib/Roundcube/rcube_string_replacer.php behavior.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Productos afectados
n/a · n/a
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.