CVE-2025-68461

Roundcube Webmail до версии 1.5.12 и 1.6 до версии 1.6.12 подвержен уязвимости межсайтового скриптинга (XSS) через тег animate в SVG-документе.

Как работает этот метод обнаружения?

Извлекает версию Roundcube из JSON-поля "rcversion" в ответе, разбирает её в формат major.minor.patch, затем проверяет, является ли версия <1.5.12 или 1.6.0-1.6.11, чтобы определить уязвимые экземпляры.

Как запустить этот скрипт?

1. Скачайте и установите Nuclei.
2. Клонируйте этот репозиторий на свою локальную систему.
3. Выполните следующую команду:

nuclei -u <ip|fqdn> -t template.yaml

Или, если вы хотите просканировать список хостов, выполните:

nuclei -l <list.txt> -t template.yaml

Пример вывода

Ссылки

• https://nvd.nist.gov/vuln/detail/CVE-2025-68461
• https://roundcube.net/news/2025/12/13/security-updates-1.6.12-and-1.5.12
• https://github.com/roundcube/roundcubemail/commit/bfa032631c36b900e7444dfa278340b33cbf7cdb
• https://radar.offseq.com/threat/cve-2025-68461-cwe-79-improper-neutralization-of-i-1c741b3e

Отказ от ответственности

Используйте на свой страх и риск. Я не несу ответственности за незаконные действия, которые вы совершаете в отношении инфраструктуры, которой вы не владеете или на сканирование которой у вас нет разрешения.

Лицензия

Этот проект лицензирован в соответствии с лицензией MIT.

Контакты

Если у вас есть вопросы по этому скрипту обнаружения уязвимостей, пожалуйста, свяжитесь со мной через Signal.

Если вы хотите связаться, я в основном активен в Twitter/X и LinkedIn.