CVE-2024-37383

Moyenne6.1Publiée le 7 juin 2024

Roundcube Webmail avant 1.5.7 et 1.6.x avant 1.6.7 permet XSS via les attributs animate SVG.

Activement exploitée

Dans le catalogue CISA des vulnérabilités exploitées depuis le 24 oct. 2024
Les agences fédérales américaines doivent la corriger avant le 14 nov. 2024 (BOD 22-01)
Première attaque observée 124 jours après la divulgation

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

Score CVSS6.1 / 10CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Type de faiblesse (CWE)CWE-79, CWE-79

Éditeursdebian, roundcube

Éditeurs	Produit	Versions
roundcube	webmail	< 1.5.7
debian	debian linux	10.0

Exploitation active de CVE-2026-48842, injection SQL pré-auth dans Roundcube via virtuser_query. Mettez à jour vers 1.6.16 ou 1.7.1.

This product uses the NVD API but is not endorsed or certified by the NVD.

La description technique est notre traduction du texte original du NVD, en anglais.