CVE-2024-37383mediumbajo ataqueCWE-79

CVE-2024-37383

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Webmail+ Monitorear roundcube

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

85Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA y tiene prueba de concepto pública.

ssvc Actcvss 6.1epss 74%
de la publicación al arma139 días
Publicada en NVD7 jun
1ª PoC+139d
CISA KEV+139d
Lo que declaran los fabricantes (VEX)

Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.

Red Hatdocumento VEX ↗
No afectado
1 producto — porque el código vulnerable no está presente en el producto
red_hat_products
Acción exigida por CISAplazo federal: 2024-11-14

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

En resumen

Roundcube Webmail tiene una vulnerabilidad que permite a atacantes inyectar código malicioso mediante atributos de animación SVG en correos electrónicos, posibilitando el robo de información o acciones no autorizadas en nombre del usuario.

Detalle técnico

CWE-79 (XSS Almacenado) en versiones <1.5.7 y 1.6.x <1.6.7 de Roundcube por falta de sanitización de elementos SVG animate. Vector de ataque requiere contenido de correo electrónico malicioso; ejecución ocurre en el navegador de la víctima al renderizar el mensaje. Impacto incluye secuestro de sesión y robo de credenciales.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Roundcube Webmail before 1.5.7 and 1.6.x before 1.6.7 allows XSS via SVG animate attributes.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Productos afectados
n/a · n/a
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.