CVE-2020-35730

O Roundcube Webmail tem uma falha que permite atacantes injetar código JavaScript malicioso em emails de texto simples através de links especialmente construídos, que são executados no navegador da vítima ao visualizar o email.

Vulnerabilidade de XSS na função linkref_addindex do arquivo rcube_string_replacer.php permite que atacantes remotos injetem JavaScript por meio de referências de link malformadas em emails de texto simples; requer que o usuário visualize o email construído; resulta em sequestro de sessão, roubo de credenciais ou distribuição de malware.