राउंडक्यूब वेबमेल 1.6.7 के लिए XSS शोषण (CVE-2024-42009)

विवरण

यह स्क्रिप्ट राउंडक्यूब वेबमेल संस्करण 1.6.7 में एक संग्रहीत XSS कमजोरी (CVE-2024-42009) का शोषण करती है। यह वेबमेल सिस्टम में एक दुर्भावनापूर्ण पेलोड इंजेक्ट करती है, जो ट्रिगर होने पर पीड़ित के इनबॉक्स से ईमेल सामग्री को बाहर निकाल लेती है।

विशेषताएँ

• एक Python HTTP सुनने वाला (लिसनर) का उपयोग करके चुराए गए ईमेल सामग्री को कैप्चर और डिकोड करता है।
• संपर्क फ़ॉर्म के माध्यम से एक XSS पेलोड भेजता है।
• कैप्चर किए गए ईमेल बॉडी को निकालता और प्रिंट करता है।

उपयोग

1. सुनने वाला (लिसनर) शुरू करें:
   root@kitploit:~

   python3 exploit.py
   

2. exploit.py में अपनी हमले की सेटिंग्स कॉन्फ़िगर करें
   • TARGET_URL को लक्ष्य राउंडक्यूब इंस्टेंस पर सेट करें।
   • YOUR_IP:4444 को अपने वास्तविक सुनने वाले (लिसनर) IP और पोर्ट से बदलें।