CVE-2024-42009

CVSS 9.3 CRITICALEPSS 82.9%● KEVCWE-79

Em resumo

Clientes de email Roundcube versões até 1.5.7 e 1.6.x até 1.6.7 têm uma falha onde emails especialmente criados podem injetar código malicioso que executa no navegador da vítima, permitindo que atacantes roubem e enviem emails em seu nome.

Detalhe técnico

Uma vulnerabilidade de Cross-Site Scripting (XSS) existe na função message_body() do arquivo program/actions/mail/show.php devido à desinfecção inadequada do conteúdo de emails. Um atacante pode entregar uma mensagem de email crafted que executa JavaScript arbitrário no contexto do navegador da vítima, viabilizando roubo de emails e transmissão não autorizada de mensagens. A vulnerabilidade requer que a vítima abra o email malicioso.

Resumo gerado e traduzido por IA a partir da descrição oficial.

A Cross-Site Scripting vulnerability in Roundcube through 1.5.7 and 1.6.x through 1.6.7 allows a remote attacker to steal and send emails of a victim via a crafted e-mail message that abuses a Desanitization issue in message_body() in program/actions/mail/show.php.

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N

Produtos afetados

n/a · n/a

PoCs públicas encontradas — 6

githubgithub.com/DaniTheHack3r/CVE-2024-42009-PoC★ 7 githubgithub.com/0xbassiouny1337/CVE-2024-42009★ 4 githubgithub.com/Bhanunamikaze/CVE-2024-42009★ 1 githubgithub.com/ZaidArif47/CVE-2024-42009★ 1 githubgithub.com/Shubhankargupta691/CVE-2024-42009★ 0 githubgithub.com/segunakinsoyinu/CVE-2024-42009-roundcube-xss★ 0

⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.

Quer saber se a sua infraestrutura está exposta a isto?

Falar com a TrueHacking →

Referências

https://github.com/roundcube/roundcubemail/releases https://github.com/roundcube/roundcubemail/releases/tag/1.5.8 https://github.com/roundcube/roundcubemail/releases/tag/1.6.8 https://roundcube.net/news/2024/08/04/security-updates-1.6.8-and-1.5.8 https://sonarsource.com/blog/government-emails-at-risk-critical-cross-site-scripting-vulnerability-in-roundcube-webmail/https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-42009