Descripción
RoundCube Webmail contiene una vulnerabilidad de cross-site scripting (XSS) mediante la etiqueta animate en un documento SVG.
Acción recomendada
Aplicar las mitigaciones del fabricante y, en servicios en la nube, seguir las recomendaciones de seguridad del proveedor; si no hay mitigaciones disponibles, discontinuar el uso del producto.
Referencia de CISA para agencias federales de EE. UU.: BOD 22-01.
Referencias
- Aviso de roundcube.net roundcube.net/news/2025/12/13/security-updates-1.6.12-and-1.5.12
- Aviso de github.com github.com/roundcube/roundcubemail/commit/bfa032631c36b900e7444dfa278…
- Ficha en NVD (NIST) nvd.nist.gov/vuln/detail/CVE-2025-68461
Ver el texto original en inglés (CISA)
RoundCube Webmail Cross-site Scripting Vulnerability
RoundCube Webmail contains a cross-site scripting vulnerability via the animate tag in an SVG document.
Required action: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Notes: https://roundcube.net/news/2025/12/13/security-updates-1.6.12-and-1.5.12 ; https://github.com/roundcube/roundcubemail/commit/bfa032631c36b900e7444dfa278340b33cbf7cdb ; https://nvd.nist.gov/vuln/detail/CVE-2025-68461
Otras vulnerabilidades de Roundcube en el catálogo
- CVE-2025-49113 Vulnerabilidad de deserialización de datos no confiables en RoundCube Webmail Alta 20-02-2026
- CVE-2024-42009 Vulnerabilidad de cross-site scripting en RoundCube Webmail Alta 09-06-2025
- CVE-2024-37383 RoundCube Webmail Cross-Site Scripting (XSS) Vulnerability Alta 24-10-2024
- CVE-2020-13965 Roundcube Webmail Cross-Site Scripting (XSS) Vulnerability Alta 26-06-2024
- CVE-2023-43770 Roundcube Webmail Persistent Cross-Site Scripting (XSS) Vulnerability Alta 12-02-2024