CVE-2024-37383

Media6.1Publicada el 7 de junio de 2024

Roundcube Webmail anterior a 1.5.7 y 1.6.x anterior a 1.6.7 permite XSS a través de atributos animate de SVG.

Explotada activamente

En el catálogo CISA de vulnerabilidades explotadas desde el 24 oct 2024
Las agencias federales de EE. UU. deben corregirla antes del 14 nov 2024 (BOD 22-01)
Primer ataque observado 124 días después de la divulgación

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

Puntuación CVSS6.1 / 10CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Tipo de debilidad (CWE)CWE-79, CWE-79

Fabricantesdebian, roundcube

Fabricantes	Producto	Versiones
roundcube	webmail	< 1.5.7
debian	debian linux	10.0

Roundcube sufre explotación activa de CVE-2026-48842, inyección SQL pre-login en virtuser_query. Actualiza a 1.6.16 o 1.7.1 o desactiva el plugin.

This product uses the NVD API but is not endorsed or certified by the NVD.

La descripción técnica es una traducción nuestra del texto original de NVD, en inglés.