CVE-2026-48849 - Roundcube Webmail における格納型XSS、HTMLインジェクション、CSSインジェクション

概要

このリポジトリは、Roundcube Webmail における格納型クロスサイトスクリプティング（XSS）、HTMLインジェクション、CSSインジェクションの脆弱性 CVE-2026-48849 の概念実証（PoC）を含んでいます。

この脆弱性により、攻撃者がメールの件名フィールドを介して注入したHTML、CSS、JavaScriptが下書き/セッション復元データ内に保存され、ユーザーが再度ログインしてセッションを復元した際に自動的に実行される可能性があります。

このリポジトリは、教育およびセキュリティ研究目的でのみ提供されています。

項目	値
CVE	CVE-2026-48849
製品	Roundcube Webmail
脆弱性の種類	格納型XSS / HTMLインジェクション / CSSインジェクション
影響を受けるバージョン	1.6.16 より前の 1.6.x、1.7.1 より前の 1.7.x
修正バージョン	1.6.16、1.7.1
発見/報告者	Anand Jogawade (zazy)

悪用に成功すると、以下が可能になる可能性があります：

この脆弱性の特筆すべき点は、ユーザーの追加操作を必要とせず、ログイン後のセッション復元プロセス中にペイロードが自動的に実行されることです。

Roundcube Webmail にログインする
作成をクリックする。
ペイロードを件名フィールドに挿入する。
何らかのバックグラウンドアクション（例：画像を添付）をトリガーし、リクエストをキャプチャしてリピーターに送信する。
最初に元のリクエストを送信し、レスポンスをレンダリングする（画像が表示される）。
次に、リピーターで roundcube_sessauth クッキーを変更または削除してセッションを無効化し、送信してレスポンスをレンダリングする（メインのログインページが表示される）。
有効な（元の）クッキーを使用して同じリクエストを送信し、200 OK のレスポンスを確認することでセッションの有効期限切れを確認する（それでもメインのログインページが表示される）。
Roundcube のメール作成セクションの右隅に、「Your session is invalid or expired」というメッセージが表示されることを確認する。
その後、ページをリロードする（ログインページに戻される）。
同じ認証情報で再度ログインする。
XSSアラートが自動的に表示され、CSSインジェクションとHTMLインジェクションを含む復元メッセージのポップアップが表示される。

'"><script>alert("XSS")</script> <h1>HTML</h1><h2>Injection</h2> <b/style=position:fixed;top:0;left:0;font-size:200px>CSS Injection<!--

POC-1

POC-1

POC-2

POC-3

この概念実証は、教育、研究、および防御的なセキュリティ目的のみを意図しています。テストは、自分が所有するシステム、または評価を許可されたシステムに対してのみ実施する必要があります。