← Toutes les vulnérabilités exploitées (KEV)

Vulnérabilités Roundcube activement exploitées (KEV)

Les 11 vulnérabilités Roundcube dont la CISA a confirmé l’exploitation réelle, de la plus récente à la plus ancienne. Textes traduits automatiquement ; la fiche de la CISA fait foi.

CVE-2025-68461 — Roundcube Webmail : vulnérabilité cross-site scripting

Produit : Roundcube Webmail
Ajoutée au catalogue : 20 février 2026
Échéance CISA : 13 mars 2026
Rançongiciels : pas d’usage connu
Faiblesse : CWE-79
Gravité : CVSS 6,1 (moyenne)
Probabilité d’exploitation (EPSS) : 27 %

Roundcube Webmail contient une vulnérabilité cross-site scripting via la balise animate dans un document SVG.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · roundcube.net · github.com

CVE-2025-49113 — Roundcube Webmail : vulnérabilité de désérialisation de données non fiables

Produit : Roundcube Webmail
Ajoutée au catalogue : 20 février 2026
Échéance CISA : 13 mars 2026
Rançongiciels : pas d’usage connu
Faiblesse : CWE-502
Gravité : CVSS 8,8 (élevée)
Probabilité d’exploitation (EPSS) : 99 %

Roundcube Webmail contient une vulnérabilité de désérialisation de données non fiables qui permet une exécution de code à distance par des utilisateurs authentifiés car le paramètre _from dans une url n'est pas validé dans program/actions/settings/upload.php.

Références : NVD · CISA · roundcube.net · github.com · github.com

CVE-2024-42009 — Roundcube Webmail : vulnérabilité cross-site scripting

Produit : Roundcube Webmail
Ajoutée au catalogue : 9 juin 2025
Échéance CISA : 30 juin 2025
Rançongiciels : pas d’usage connu
Faiblesse : CWE-79
Gravité : CVSS 9,3 (critique)
Probabilité d’exploitation (EPSS) : 83 %

Roundcube Webmail contient une vulnérabilité cross-site scripting. Cette vulnérabilité pourrait permettre à un attaquant distant de voler et d'envoyer les e-mails d'une victime via un message e-mail élaboré qui abuse d'un problème de désinfection dans message_body() dans program/actions/mail/show.php.

Références : NVD · CISA · roundcube.net

CVE-2024-37383 — Roundcube Webmail : vulnérabilité cross-site scripting (XSS)

Produit : Roundcube Webmail
Ajoutée au catalogue : 24 octobre 2024
Échéance CISA : 14 novembre 2024
Rançongiciels : pas d’usage connu
Faiblesse : CWE-79
Gravité : CVSS 6,1 (moyenne)
Probabilité d’exploitation (EPSS) : 74 %

RoundCube Webmail contient une vulnérabilité cross-site scripting (XSS) dans le traitement des attributs animate SVG qui permet à un attaquant distant d'exécuter du code JavaScript malveillant.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · github.com

CVE-2020-13965 — Roundcube Webmail : vulnérabilité cross-site scripting (XSS)

Produit : Roundcube Webmail
Ajoutée au catalogue : 26 juin 2024
Échéance CISA : 17 juillet 2024
Rançongiciels : pas d’usage connu
Faiblesse : CWE-80
Gravité : CVSS 6,1 (moyenne)
Probabilité d’exploitation (EPSS) : 77 %

Roundcube Webmail contient une vulnérabilité cross-site scripting (XSS) qui permet à un attaquant à distance de manipuler des données via une pièce jointe XML malveillante.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · roundcube.net

CVE-2023-43770 — Roundcube Webmail : vulnérabilité de cross-site scripting (XSS) persistante

Produit : Roundcube Webmail
Ajoutée au catalogue : 12 février 2024
Échéance CISA : 4 mars 2024
Rançongiciels : pas d’usage connu
Faiblesse : CWE-79
Gravité : CVSS 6,1 (moyenne)
Probabilité d’exploitation (EPSS) : 64 %

Roundcube Webmail contient une vulnérabilité de cross-site scripting (XSS) persistante qui peut entraîner une divulgation d'informations via des références de liens malveillants dans les messages en texte brut.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · roundcube.net

CVE-2023-5631 — Roundcube Webmail : vulnérabilité de cross-site scripting (XSS) persistante

Produit : Roundcube Webmail
Ajoutée au catalogue : 26 octobre 2023
Échéance CISA : 16 novembre 2023
Rançongiciels : pas d’usage connu
Faiblesse : CWE-79
Gravité : CVSS 5,4 (moyenne)
Probabilité d’exploitation (EPSS) : 76 %

Roundcube Webmail contient une vulnérabilité de cross-site scripting (XSS) persistante qui permet à un attaquant à distance d'exécuter du code JavaScript malveillant.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · roundcube.net

CVE-2021-44026 — Roundcube Webmail : vulnérabilité d'injection SQL

Produit : Roundcube Roundcube Webmail
Ajoutée au catalogue : 22 juin 2023
Échéance CISA : 13 juillet 2023
Rançongiciels : pas d’usage connu
Faiblesse : CWE-89
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 70 %

Roundcube Webmail est vulnérable à l'injection SQL via search ou search_params.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA · roundcube.net

CVE-2020-35730 — Roundcube Webmail : vulnérabilité cross-site scripting (XSS)

Produit : Roundcube Roundcube Webmail
Ajoutée au catalogue : 22 juin 2023
Échéance CISA : 13 juillet 2023
Rançongiciels : pas d’usage connu
Faiblesse : CWE-79
Gravité : CVSS 6,1 (moyenne)
Probabilité d’exploitation (EPSS) : 33 %

Roundcube Webmail contient une vulnérabilité cross-site scripting (XSS) qui permet à un attaquant d'envoyer un message e-mail en texte brut avec du javascript dans un élément de référence de lien qui est mal géré par linkref_addinindex dans rcube_string_replacer.php.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA · roundcube.net

CVE-2020-12641 — Roundcube Webmail : vulnérabilité d'exécution de code à distance

Produit : Roundcube Roundcube Webmail
Ajoutée au catalogue : 22 juin 2023
Échéance CISA : 13 juillet 2023
Rançongiciels : pas d’usage connu
Faiblesse : CWE-78
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 84 %

Roundcube Webmail contient une vulnérabilité d'exécution de code à distance qui permet aux attaquants d'exécuter du code via des métacaractères de shell dans un paramètre de configuration pour im_convert_path ou im_identify_path.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA · roundcube.net

CVE-2017-16651 — Roundcube Webmail : divulgation de fichiers

Produit : Roundcube Roundcube Webmail
Ajoutée au catalogue : 3 novembre 2021
Échéance CISA : 3 mai 2022
Rançongiciels : pas d’usage connu
Faiblesse : CWE-552
Gravité : CVSS 7,8 (élevée)
Probabilité d’exploitation (EPSS) : 46 %

Roundcube Webmail contient une vulnérabilité de divulgation de fichiers causée par une validation incorrecte des entrées en conjonction avec les plugins de pièces jointes basés sur des fichiers, qui sont utilisés par défaut.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

← Retour au suivi KEV · télécharger tout le catalogue (CSV)