Mailu 2024.06.65 обновил Roundcube до 1.6.20 с security-исправлениями

Связанный pull request Mailu помечен как security/backport и обновляет встроенный Roundcube до 1.6.20. Других функциональных изменений в release notes Mailu 2024.06.65 не заявлено.

Roundcube 1.6.20 исправляет инъекции команд IMAP через параметры просмотра и маркировки писем, а также несколько вариантов внедрения почтовых заголовков. В список вошли обход фильтра SSRF через адреса NAT64, обходы блокировки внешнего содержимого в SVG и CSS, CSRF в действии «пометить как спам» и XSS при обработке ошибок драйвера паролей.

Отдельные исправления ограничивают обработку содержимого CSS-прокси, устраняют небезопасную передачу вложений в ImageMagick и обход лимитов ресурсов при создании миниатюр. Также закрыты примитив внедрения объектов через ключи сессии, обход настройки disabled_actions устаревшими псевдонимами действий и возможность драйвера Password Modoboa изменить пароль другой учётной записи.

Проект Roundcube рекомендует обновить рабочие установки веток 1.6.x и 1.7.x до новых security-релизов. Для пользователей Mailu ветки 2024.06 соответствующая версия веб-клиента включена именно в Mailu 2024.06.65.

Mailu отдельно напоминает различие тегов: основной тег ветки 2024.06 следует за её последним образом, а точный тег 2024.06.65 закреплён за конкретным коммитом и не меняется при последующих сборках.