CVE-2020-13964

Versões do Roundcube Webmail anteriores à 1.3.12

Versões do Roundcube Webmail 1.4.x anteriores à 1.4.5

O problema está relacionado a medidas de proteção insuficientes para as estruturas das páginas da web no Roundcube Webmail, permitindo que um invasor remoto comprometa a integridade dos dados. O problema está especificamente no objeto de modelo username em include/rcmail output html.php, o que permite ataques XSS.

Para versões do Roundcube Webmail anteriores à 1.3.12, atualize para a versão 1.3.12 ou posterior.

Para versões do Roundcube Webmail 1.4.x anteriores à 1.4.5, atualize para a versão 1.4.5 ou posterior.

Como solução temporária, considere restringir o acesso ao arquivo include/rcmail output html.php até que um patch esteja disponível.

Evite usar o objeto de modelo username nos pontos de extremidade da API afetados até que o problema seja resolvido.