CVE-2025-68461

إصدارات Roundcube Webmail الأقدم من 1.5.12، وإصدارات السلسلة 1.6 الأقدم من 1.6.12، معرّضة لثغرة البرمجة النصية عبر المواقع (XSS) عبر وسم animate في مستند SVG.

كيف تعمل طريقة الكشف هذه؟

تستخرج إصدار Roundcube من حقل "rcversion" في JSON داخل الاستجابة، وتحلّله إلى تنسيق major.minor.patch، ثم تتحقق مما إذا كان الإصدار أقل من 1.5.12 أو يقع ضمن النطاق 1.6.0-1.6.11 لتحديد الحالات المعرّضة للخطر.

كيف أقوم بتشغيل هذا السكربت؟

1. قم بتنزيل وتثبيت Nuclei.
2. استنسخ هذا المستودع إلى نظامك المحلي.
3. قم بتشغيل الأمر التالي:

nuclei -u <ip|fqdn> -t template.yaml

أو إذا كنت ترغب في فحص قائمة من المضيفين، نفّذ:

nuclei -l <list.txt> -t template.yaml

مثال على المخرجات

المراجع

• https://nvd.nist.gov/vuln/detail/CVE-2025-68461
• https://roundcube.net/news/2025/12/13/security-updates-1.6.12-and-1.5.12
• https://github.com/roundcube/roundcubemail/commit/bfa032631c36b900e7444dfa278340b33cbf7cdb
• https://radar.offseq.com/threat/cve-2025-68461-cwe-79-improper-neutralization-of-i-1c741b3e

إخلاء المسؤولية

استخدمه على مسؤوليتك الخاصة، ولن أكون مسؤولاً عن الأنشطة غير القانونية التي تقوم بها على بنية تحتية لا تملكها أو ليس لديك إذن بفحصها.

الترخيص

هذا المشروع مرخّص بموجب رخصة MIT.

التواصل

إذا كانت لديك أي أسئلة حول سكربت كشف الثغرات هذا، فيرجى التواصل معي عبر Signal.

إذا كنت ترغب في التواصل معي، فأنا نشط في الغالب على Twitter/X وLinkedIn.