CVE ID	Vulnerability Type	Affected Versions	Severity	Description
CVE-2024-XXXXX	Cross-Site-Scripting (XSS)	1.6.x, 1.5.x LTS	High	Information Disclosure in HTML-style sanitizer bypassing filters
CVE-2024-XXXXX	Information Disclosure	1.6.x, 1.5.x LTS	Medium-High	Information Disclosure in HTML style sanitizer bypassing filters

La segunda vulnerabilidad implica un fallo de divulgación de información en el sanitizador de estilo HTML de Roundcube. Reportada por el investigador de seguridad somerandomdev, esta vulnerabilidad podría permitir a los atacantes eludir los filtros de sanitización. Y acceder a información confidencial a través de contenido HTML especialmente diseñado.

 La vulnerabilidad en la lógica de sanitización crea un camino para la fuga de información que podría comprometer la privacidad del usuario. Roundcube ha lanzado versiones parcheadas que abordan ambas vulnerabilidades y recomienda encarecidamente las actualizaciones inmediatas para todas las instalaciones productivas que ejecuten las versiones 1.6.x y 1.5.x. Los administradores del sistema deben priorizar la implementación de las versiones 1.6.12 y 1.5.12 para eliminar los riesgos de explotación. 

Las versiones actualizadas están disponibles en el repositorio oficial de Roundcube en GitHub. Deberías verificar tu versión actual de Roundcube y aplicar las actualizaciones sin demora, ya que estas vulnerabilidades podrían estar siendo explotadas activamente en la naturaleza. Las organizaciones que dependen de Roundcube para los servicios de correo electrónico deben tratar esta actualización como mantenimiento crítico de la infraestructura. Las correcciones de seguridad son exhaustivas y abordan tanto el vector de inyección de scripts del lado del cliente como el riesgo de divulgación de información del lado del servidor. Los detalles completos del registro de cambios están disponibles en las notas de lanzamiento oficiales para ambas versiones actualizadas.

Fuentes:
https://cybersecuritynews.com/roundcube-vulnerabilities/