CVE-2018-9846
CVE-2018-9846
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
In Roundcube from versions 1.2.0 to 1.3.5, with the archive plugin enabled and configured, it's possible to exploit the unsanitized, user-controlled "_uid" parameter (in an archive.php _task=mail&_mbox=INBOX&_action=plugin.move2archive request) to perform an MX (IMAP) injection attack by placing an IMAP command after a %0d%0a sequence. NOTE: this is less easily exploitable in 1.3.4 and later because of a Same Origin Policy protection mechanism.
CVSS 8.8 · Hoch · EPSS 2,3% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: system
Betroffene Produkte und Versionen
n/a
- Softwareversionen
- n/a: Betroffen
Keine Korrektur veröffentlicht
roundcube Debian:12
- Betroffene Versionsbereiche
- ECOSYSTEM: < 1.3.6+dfsg.1-1
Auf 1.3.6+dfsg.1-1 aktualisieren
roundcube Debian:13
- Betroffene Versionsbereiche
- ECOSYSTEM: < 1.3.6+dfsg.1-1
Auf 1.3.6+dfsg.1-1 aktualisieren
roundcube Debian:14
- Betroffene Versionsbereiche
- ECOSYSTEM: < 1.3.6+dfsg.1-1
Auf 1.3.6+dfsg.1-1 aktualisieren
roundcube Ubuntu:Pro:16.04:LTS
- Softwareversionen
- 1.1.1+dfsg.1-2
- 1.1.2+dfsg.1-5
- 1.1.3+dfsg.1-1
- 1.1.4+dfsg.1-1
- 1.2~beta+dfsg.1-0ubuntu1
- 1.2~beta+dfsg.1-0ubuntu1+esm1
- 1.2~beta+dfsg.1-0ubuntu1+esm2
- 1.2~beta+dfsg.1-0ubuntu1+esm3
- 1.2~beta+dfsg.1-0ubuntu1+esm4
- 1.2~beta+dfsg.1-0ubuntu1+esm5
- 1.2~beta+dfsg.1-0ubuntu1+esm6
- Betroffene Versionsbereiche
- ECOSYSTEM: < 1.2~beta+dfsg.1-0ubuntu1+esm7
Auf 1.2~beta+dfsg.1-0ubuntu1+esm7 aktualisieren