critique
CVE-2020-12641
rcube_image.php in Roundcube Webmail before 1.4.4 allows attackers to ...
Dans la Trivy database depuis au moins le 24 oct. 2026, 07:11 UTCLa date d'entrée avant ce build n'est pas enregistrée.
Sévérité par source
NVD9.8CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Le label propre à Trivy est CRITICAL. Critique selon NVD. Plus basse selon Ubuntu (élevée).
Description
rcube_image.php in Roundcube Webmail before 1.4.4 allows attackers to execute arbitrary code via shell metacharacters in a configuration setting for im_convert_path or im_identify_path.
Paquets affectés et versions corrigées
| Source | Paquet | Corrigé en |
|---|---|---|
| debian 10 | roundcube | 1.3.11+dfsg.1-1~deb10u1 |
| debian 11 | roundcube | 1.4.4+dfsg.1-1 |
| debian 12 | roundcube | 1.4.4+dfsg.1-1 |
| debian 13 | roundcube | 1.4.4+dfsg.1-1 |
| debian 14 | roundcube | 1.4.4+dfsg.1-1 |
| echo | roundcube | 1.4.4+dfsg.1-1 |
| ubuntu 16.04-ESM | roundcube | 1.2~beta+dfsg.1-0ubuntu1+esm2 |
| ubuntu 18.04-ESM | roundcube | 1.3.6+dfsg.1-1ubuntu0.1~esm2 |
| ubuntu 20.04-ESM | roundcube | 1.4.3+dfsg.1-1ubuntu0.1~esm1 |
Références
- http://lists.opensuse.org/opensuse-security-announce/2020-09/msg00083.html
- https://github.com/DrunkenShells/Disclosures/tree/master/CVE-2020-12641-Command%20Injection-Roundcube
- https://github.com/roundcube/roundcubemail/commit/fcfb099477f353373c34c8a65c9035b06b364db3
- https://github.com/roundcube/roundcubemail/compare/1.4.3...1.4.4
- https://github.com/roundcube/roundcubemail/releases/tag/1.4.4
- https://roundcube.net/news/2020/04/29/security-updates-1.4.4-1.3.11-and-1.2.10
- https://security.gentoo.org/glsa/202007-41
- https://ubuntu.com/security/notices/USN-5182-1