Roundcube 1.7.2 安全更新修复SSRF/XSS/DoS

漏洞概述 Roundcube Webmail 1.7.2 是一个安全更新版本，修复了多个已报告的安全漏洞。这些漏洞包括无限循环、密码插件中的各种漏洞、存储型 XSS、SSRF 绕过、零点击存储型 XSS 和 DoS 攻击。 影响范围 无限循环：在 TNEF (winmail.dat) 解码器中存在无限循环。 密码插件漏洞：使用会话注入的用户名时存在多种漏洞。 存储型 XSS：通过未转义的附件 MIME 类型在附件验证警告页面上存在存储型 XSS。 SSRF 绕过：通过特定本地地址 URL 存在 SSRF 绕过。 零点击存储型 XSS：在纯文本渲染中存在零点击存储型 XSS。 DoS 攻击：通过构造压缩的 RTF 大小在 TNEF (winmail.dat) 文件中存在 DoS 攻击。 修复方案 无限循环：修复了 TNEF (winmail.dat) 解码器中的无限循环。 密码插件漏洞：修复了使用会话注入的用户名时的多种漏洞。 存储型 XSS：修复了通过未转义的附件 MIME 类型在附件验证警告页面上的存储型 XSS。 SSRF 绕过：修复了通过特定本地地址 URL 的 SSRF 绕过。 零点击存储型 XSS：修复了在纯文本渲染中的零点击存储型 XSS。 DoS 攻击：修复了通过构造压缩的 RTF 大小在 TNEF (winmail.dat) 文件中的 DoS 攻击。 其他信息 版本稳定性：此版本被认为是稳定的，建议更新所有生产环境中的 Roundcube 安装。 数据备份：在更新之前，请备份您的数据。 详细修复内容 Add HEAD request handler to the static.php Fix so the oauth_password_claim claim is retrieved via token or userinfo request Fix bug where static.php would return a 416 error on a specific Range request Fix bug where configured skin logo wasn't loaded via static.php resulting in 404 error Fix bug where install.sh would fail if public_html folder does not exist in the target directory Revert "Prefer 8bit over quoted-printable for HTML parts, when force_8bit is disabled" Fix incorrect unfolding of folded lines when importing vCard 2.1 contacts Fix bug where Imagick could leave large temporary files on failure Fix bug where redis/memcache session could have been updated more often than needed Fix support for untyped tokens in OIDC backchannel logout, require unset nonce Security: Fix an infinite loop in TNEF (winmail.dat) decoder Security: Fix various vulnerabilities in the password plugin using session-injected username Security: Fix stored XSS via unescaped attachment MIME type on the attachment-validation warning page Security: Fix SSRF bypass via specific local address URLs - two new cases Security: Fix zero-click stored XSS in plain-text rendering Security: Fix DoS via crafted compressed-RTF size in the TNEF (winmail.dat) file 总结 Roundcube Webmail 1.7.2 版本修复了多个严重的安全漏洞，包括无限循环、存储型 XSS、SSRF 绕过、零点击存储型 XSS 和 DoS 攻击。建议所有生产环境中的 Roundcube 安装立即更新到此版本，并在更新前备份数据。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

Roundcube 1.7.2 安全更新修复SSRF/XSS/DoS

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Roundcube 1.7.2 安全更新修复SSRF/XSS/DoS

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！