CVE-2020-13965: ثغرة برمجية من نوع Cross‑Site Scripting عبر مرفق XML ضار في Roundcube Webmail

توجد ثغرة من نوع Cross‑Site Scripting (XSS) في إصدارات Roundcube قبل 1.4.5 و1.3.12.

من خلال استغلال تحليل المرفقات من نوع "text/xml"، يمكن للمهاجم تجاوز مرشح البرامج النصية الخاص بـ Roundcube وتنفيذ كود JavaScript ضار عشوائي في متصفح الضحية عند النقر على المرفق الضار أو معاينته.

إفادة البائع:

يمكن العثور على إفادة البائع والإصلاح لهذه الثغرة هنا.

المتطلبات:

تتطلب هذه الثغرة:

• انتظار قيام مستخدم Roundcube بفتح المرفق الذي يحتوي على XSS

إثبات المفهوم:

يمكن العثور على مزيد من التفاصيل وعملية الاستغلال في ملف PDF.