CRITICAL🚩 CISA KEV⚡ EXPLOIT✓ PATCH🇬🇧 English

CVE-2024-42009

XSS w Roundcube Webmail umożliwiający kradzież i wysyłkę wiadomości e-mail

CVSS 9.3v3.1pub. 2024-08-05upd. 2025-11-04

Podatność typu Cross-Site Scripting (XSS) w Roundcube Webmail pozwala zdalnemu atakującemu na kradzież oraz wysyłkę wiadomości e-mail ofiary bez jej wiedzy. Luka jest aktywnie wykorzystywana i posiada ocenę krytyczną CVSS 9.3.

▸ Pokaż oryginał (EN)

A Cross-Site Scripting vulnerability in Roundcube through 1.5.7 and 1.6.x through 1.6.7 allows a remote attacker to steal and send emails of a victim via a crafted e-mail message that abuses a Desanitization issue in message_body() in program/actions/mail/show.php.

🤖 Analiza AI

Jak działa

Atakujący wysyła specjalnie spreparowaną wiadomość e-mail do ofiary. Podczas wyświetlania tej wiadomości w kliencie Roundcube dochodzi do błędu dezynfekcji (Desanitization) w funkcji message_body() znajdującej się w pliku program/actions/mail/show.php. W rezultacie złośliwy kod JavaScript osadzony w wiadomości jest wykonywany w przeglądarce ofiary w kontekście aplikacji webmail, co umożliwia atakującemu przejęcie kontroli nad sesją i operacjami pocztowymi użytkownika.

Skutki

Atakujący może odczytać prywatne wiadomości e-mail ofiary oraz wysyłać wiadomości w jej imieniu, co prowadzi do poważnego naruszenia poufności i integralności korespondencji. Skutek może obejmować także dalsze ataki oparte na przejętych danych uwierzytelniających lub informacjach zawartych w skrzynce pocztowej.

Mitygacja

Należy niezwłocznie zaktualizować Roundcube Webmail do wersji 1.5.8 lub 1.6.8, w których producent udostępnił poprawki bezpieczeństwa. Patche dostępne są w referencjach producenta: https://roundcube.net/news/2024/08/04/security-updates-1.6.8-and-1.5.8

Kogo dotyczy

Roundcube Webmail w wersjach do 1.5.7 włącznie oraz w wersjach 1.6.x do 1.6.7 włącznie

Uwagi

Podatność została opisana przez badaczy SonarSource, którzy opublikowali analizę techniczną wskazującą na zagrożenie dla rządowych skrzynek e-mail. Poprawki zostały opublikowane przez producenta w dniu 2024-08-04.

CVSS Vector

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N

Roundcube Webmail
APP
Roundcube
< 1.5.81.6.0 – 1.6.8 (bez)

CISA KEV — szczegółyi

Dostawcai: Roundcube
Produkti: Webmail
Data dodania do KEVi: 9 czerwca 2025
Termin remediation (USA)i: 30 czerwca 2025(po terminie)

🇺🇸CISA KEV (oryginał)↗

Wymagana akcja (CISA)i

Zastosuj mitygacje zgodnie z instrukcjami producenta, postępuj zgodnie z wytycznymi BOD 22-01 dotyczącymi usług chmurowych lub zaprzestań używania produktu, jeśli mitygacje są niedostępne.

tłumaczenie AI

▸ Pokaż oryginał (EN)

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Opis CISAi

RoundCube Webmail zawiera lukę XSS. Ta luka mogłaby umożliwić zdalnemu atakującemu kradzież i wysłanie wiadomości e-mail ofiary za pośrednictwem spreparowanej wiadomości e-mail, która wykorzystuje błąd Desanitization w funkcji message_body() w pliku program/actions/mail/show.php.

tłumaczenie AI

▸ Pokaż oryginał (EN)

RoundCube Webmail contains a cross-site scripting vulnerability. This vulnerability could allow a remote attacker to steal and send emails of a victim via a crafted e-mail message that abuses a Desanitization issue in message_body() in program/actions/mail/show.php.

🔴