राउंडक्यूब वेबमेल 1.6.7 के लिए XSS शोषण (CVE-2024-42009)

विवरण

यह स्क्रिप्ट राउंडक्यूब वेबमेल संस्करण 1.6.7 में एक संग्रहीत XSS कमजोरी (CVE-2024-42009) का शोषण करती है। यह वेबमेल सिस्टम में एक दुर्भावनापूर्ण पेलोड इंजेक्ट करती है, जो ट्रिगर होने पर पीड़ित के इनबॉक्स से ईमेल सामग्री को बाहर निकाल लेती है।

विशेषताएँ

• एक Python HTTP सुनने वाला (लिसनर) का उपयोग करके चुराए गए ईमेल सामग्री को कैप्चर और डिकोड करता है।
• संपर्क फ़ॉर्म के माध्यम से एक XSS पेलोड भेजता है।
• कैप्चर किए गए ईमेल बॉडी को निकालता और प्रिंट करता है।

उपयोग

1. सुनने वाला (लिसनर) शुरू करें:

   python3 exploit.py
   

2. exploit.py में अपनी हमले की सेटिंग्स कॉन्फ़िगर करें
   • TARGET_URL को लक्ष्य राउंडक्यूब इंस्टेंस पर सेट करें।
   • YOUR_IP:4444 को अपने वास्तविक सुनने वाले (लिसनर) IP और पोर्ट से बदलें।
3. कैप्चर किए गए ईमेल सामग्री की वास्तविक समय में निगरानी करें।

संदर्भ

इस कमजोरी के प्रभाव को समझने के लिए एक अच्छा संदर्भ इस ब्लॉग पोस्ट में पाया जा सकता है:
Government Emails at Risk: Critical Cross-Site Scripting Vulnerability in Roundcube Webmail

अस्वीकरण

यह शोषण केवल शैक्षिक और अधिकृत प्रवेश परीक्षण उद्देश्यों के लिए है। उन सिस्टमों के खिलाफ अनधिकृत उपयोग जिनके आप मालिक नहीं हैं या जिनके परीक्षण की स्पष्ट अनुमति नहीं है, अवैध है। मैं वह व्यक्ति नहीं हूं जिसने CVE-2024-42009 की खोज की। यह शोषण DeepSeek से छोटी मदद के साथ विभिन्न ब्लॉगों से जानकारी का उपयोग करके बनाया गया था।

आवश्यकताएँ

• Python 3.x
• requests, beautifulsoup4 लाइब्रेरीज़ (pip install requests beautifulsoup4 से इंस्टॉल करें)

लाइसेंस

यह परियोजना केवल शैक्षिक उपयोग के लिए है। इसका जिम्मेदारी से उपयोग करें।