Açıklık geçtiğimiz günlerde The U.S. Cybersecurity and Infrastructure Security Agency (CISA) Tarafından duyuruldu.
Orta seviyeli olarak belirlenen bu açıklığın CVSS puanı: 6.1 olarak belirlenmiş.
CISA, “Roundcube Webmail, düz/metin mesajlarındaki kötü amaçlı bağlantı referansları yoluyla bilgilerin açığa çıkmasına yol açabilecek kalıcı bir siteler arası komut dosyası çalıştırma (XSS) güvenlik açığı içeriyor” dedi.
Ulusal Güvenlik Açığı Veritabanındaki (NVD) açıklamasına göre Roundcube’un 1.4.14’ten önceki, 1.5.4’ten önceki 1.5.x ve 1.6.3’ten önceki 1.6.x sürümlerini etkiliyor.
Bu açıklıktan nasıl yararlanıldığı hakkında hiç kimsenin henüz bir tahmini yok.
Bu açıklık 1.6.3 sürümü ile güncellenmiştir. Daha eski sürümlerini kullanıyorsanız güncellemeyi unutmayınız.
Hatanın sebeb olduğu yer ve güncellenmiş veriler açık kaynak kodlu olarak githubda bulunamaktadır. https://github.com/roundcube/roundcubemail/commit/e92ec206a886461245e1672d8530cc93c618a49b