Poiché \S include < e >, una stringa che inizia come un indirizzo email potrebbe far consumare alla sostituzione automatica dei link un tag HTML di apertura, lasciando il resto da interpretare come markup. Questa forma minima illustra il primitivo:

La correzione a monte restringe il suffisso di query in modo che non possa contenere parentesi angolari o spazi bianchi:

Il fornitore descrive il problema come "zero-click" perché non è richiesto alcun clic su un link. Aprire o visualizzare in anteprima l'email mentre si è autenticati è comunque l'azione del client di posta che renderizza il payload.

Versioni affette e corrette

I commit di correzione pubblici sono:

• linea 1.7: 5477e979aae0317e111564bfc9971ba7707cc165
• linea 1.6: 4c278f4868c67b163567cae3d74e58d872913459

Esegui l'aggiornamento a Roundcube 1.6.17 / 1.7.2 o a una release supportata più recente.

Precondizioni e ambito

• L'attaccante ha bisogno di un modo per consegnare email alla vittima, ma non di un account Roundcube, di una password, dell'accesso a plugin o dell'accesso da amministratore.
• Il messaggio deve essere renderizzato da una versione affetta di Roundcube come text/plain.
• La vittima deve avere una sessione Roundcube autenticata e aprire o visualizzare in anteprima il messaggio.
• Non è richiesto alcun plugin Roundcube di terze parti.
• Il test Docker positivo ha utilizzato la skin Elastic predefinita di Roundcube. Il primitivo di base risiede nella conversione lato server del testo semplice; le altre skin non sono state dichiarate come testate in modo indipendente in questo progetto.
• Il controllo "remote resources have been blocked" di Roundcube non ha fermato il primitivo testato: l'immagine nascosta utilizza un src relativo che fallisce per invocare onerror. Un callback verso il collector richiede comunque la raggiungibilità di rete del browser.
• Il cookie di sessione di Roundcube è normalmente HttpOnly. Questa PoC non tenta di leggerlo. La sua richiesta same-origin utilizza automaticamente la sessione autenticata e l'oggetto del messaggio separato è la prova dell'impatto.

Il risultato dimostrato è l'esecuzione di JavaScript autenticato e l'accesso in lettura all'oggetto di una email precedente. Il furto dell'account, il furto arbitrario del corpo dei messaggi e l'esecuzione di codice lato server non sono rivendicati da questo repository.

Comportamento della PoC

cve-2026-54433-poc.py è autonomo e usa solo la libreria standard di Python. Esso:

1. costruisce un'email text/plain ordinaria RFC 5322 craftata;
2. analizza al massimo 50 UID inferiori nella casella di posta corrente di Roundcube per impostazione predefinita;
3. seleziona il primo oggetto precedente che non inizia con CVE-2026-54433;
4. invia in POST subject, origin e task a /capture/<random-marker>;
5. non legge mai cookie, credenziali, corpi dei messaggi o allegati;
6. invia facoltativamente l'email usando SMTP semplice, STARTTLS o TLS implicito;
7. interroga facoltativamente Webhook.site o un endpoint di stato JSON compatibile.

Il payload inserisce il commento DOM:

Nasconde inoltre il frammento di indirizzo con link automatico e l'indicatore di immagine rotta, mostrando il corpo benigno fornito dal chiamante.

Generazione offline

Genera l'email senza effettuare una connessione di rete:

Questo scrive:

• cve-2026-54433-trigger.eml
• cve-2026-54433-evidence.json

Ispeziona il messaggio generato prima di usare la modalità di invio.

Test SMTP autorizzato con Webhook.site

Il valore --collector può essere un UUID di Webhook.site, un URL di capture o un URL #!/view/. Lo script deriva gli endpoint di cattura e polling.

Se SMTP_PASSWORD è assente, lo script chiede la password senza mostrarla o memorizzarla. È possibile selezionare una variabile con nome diverso usando --smtp-password-env NAME. Evita --smtp-password sui sistemi multiutente perché gli argomenti della riga di comando possono essere visibili negli elenchi dei processi o nella cronologia della shell.

Lo script chiede un YES esplicito prima di inviare. Nell'automazione di laboratorio non interattiva e già autorizzata, passa --yes. Attende fino a 24 ore per un callback per impostazione predefinita; usa --timeout SECONDS per modificare questo comportamento.

Per un collector diverso da Webhook.site, passa la base di cattura e l'endpoint di stato JSON opzionale:

Il collector.py incluso implementa gli endpoint compatibili /capture/<marker> e /status. Per impostazione predefinita si lega al loopback. La distribuzione HTTPS reale e il controllo degli accessi sono lasciati intenzionalmente al tester autorizzato.

Laboratorio Docker riproducibile

Il laboratorio non ha porte host pubblicate e contiene solo messaggi sintetici. Usa la stessa PoC Python per generare il trigger, consegna entrambi i messaggi in una casella Dovecot monouso, effettua l'accesso tramite un browser headless monouso e registra se l'handler iniettato ha letto l'oggetto precedente.

Requisiti: Docker, Python 3, OpenSSL e jq.

Test vulnerabile:

Controllo corretto:

Per una dimostrazione video o dal vivo nel browser, esegui:

Pubblica Roundcube e il collector visivo solo su loopback. Apri le due URL stampate dallo script, mostra il collector inizialmente vuoto, accedi usando le credenziali sintetiche stampate, clicca sull'email trigger e torna al collector. L'oggetto sintetico catturato appare in una tabella ad aggiornamento automatico. Ctrl-C rimuove i container monouso e la rete.

Per registrare l'interazione con il browser e un callback reale di Webhook.site, usa lo strumento di registrazione riproducibile. Richiede Chrome, Xvfb, ffmpeg, Docker e un token Webhook.site autorizzato fornito tramite l'ambiente:

L'MP4 risultante mostra la riga trigger visibile di Roundcube, un clic del mouse annotato e Webhook.site che visualizza l'oggetto sintetico ricevuto. Il token non viene mai memorizzato nell'albero dei sorgenti.

Artefatto registrato: assets/CVE-2026-54433-webhook-demo.mp4

La registrazione include un pannello terminale visibile che mostra l'invocazione Python di sola generazione, l'output della generazione del payload, il clic su Roundcube e la richiesta Webhook.site risultante.

La demo visiva accetta anche COLLECTOR_URL e COLLECTOR_VIEW_URL; punta entrambe a un token Webhook.site autorizzato per mostrare il collector reale che riceve l'oggetto sintetico. Non riutilizzare un token che contiene richieste non correlate.

Risultati riprodotti

Il confronto end-to-end è stato eseguito il 2026-08-14 su Linux x86-64 con Docker:

Corpo del callback positivo (valore sintetico, origine sanificata):

Il confronto strutturato e sanificato si trova in docs/e2e-results.json.

Verifica l'albero di pubblicazione

La verifica offline compila i sorgenti Python, genera un nuovo .eml e ne controlla il tipo MIME, il primitivo del payload, il corpo visibile, il commento e i metadati:

Imposta RUN_DOCKER=1 per aggiungere entrambi i controlli Docker end-to-end:

Istantanea della ricerca di exploit pubblici

Il 2026-08-14, ricerche mirate per CVE-2026-54433 su GitHub, Exploit-Database e Packet Storm non hanno individuato un exploit validato e configurabile per l'invio di email con un confronto end-to-end vulnerabile/corretto. Esistevano già voci del fornitore e dei database di vulnerabilità, discussioni sui modelli degli scanner e write-up descrittivi. Questa è un'istantanea datata della ricerca, non un'affermazione che non possa esistere nessun'altra PoC.

Riferimenti

• Annuncio della release di sicurezza di Roundcube
• Voce NVD per CVE-2026-54433
• Commit di correzione Roundcube 1.7
• Commit di correzione Roundcube 1.6

Scoperta della vulnerabilità: Bohdan Kurinnoy, Samsung R&D Institute Ukraine (SRUKR), come accreditato da Roundcube.

Ricerca, validazione dell'impatto e implementazione dell'exploit: A. Ramos <[email protected]> (Twitter: @aramosf).

Informazioni

PoC per CVE-2026-54433, XSS memorizzato nelle email in testo semplice di Roundcube, con prova circoscritta dell'oggetto di una casella autenticata e un laboratorio Docker vulnerabile/corretto.