CVE-2026-48849 - Roundcube Webmail의 저장형 XSS, HTML 인젝션 및 CSS 인젝션

개요

이 저장소는 Roundcube Webmail에서 발견된 CVE-2026-48849 저장형 크로스 사이트 스크립팅(XSS), HTML 인젝션 및 CSS 인젝션 취약점에 대한 개념 증명(PoC)을 포함합니다.

이 취약점은 이메일 제목 필드를 통해 주입된 공격자 제어의 HTML, CSS 및 JavaScript가 임시 저장/세션 복원 데이터 내에 저장되고, 사용자가 다시 로그인하여 세션을 복원할 때 자동으로 실행되도록 합니다.

이 저장소는 교육 및 보안 연구 목적으로만 제공됩니다.

취약점 세부 정보

영향

성공적인 악용 시 다음과 같은 결과가 발생할 수 있습니다:

• 인증된 사용자 컨텍스트에서 임의 JavaScript 실행
• HTML 콘텐츠 인젝션
• CSS 기반 UI 조작 및 시각적 변조
• 웹메일 인터페이스 내 피싱 스타일 오버레이
• DOM 조작
• 공격자가 제어하는 웹사이트로 리디렉션
• 임시 저장/세션 데이터가 제거될 때까지 지속되는 페이로드

이 취약점의 주목할 만한 점은 페이로드가 로그인 후 세션 복원 과정에서 자동으로 실행되며, 추가적인 사용자 상호작용이 필요하지 않다는 것입니다.

재현 단계

1. Roundcube Webmail에 로그인합니다.
2. 작성을 클릭합니다.
3. 제목 필드에 페이로드를 삽입합니다.
4. 백그라운드 동작(예: 이미지 첨부)을 트리거하고 요청을 캡처하여 Repeater로 전송합니다.
5. 먼저 원래 요청을 보내고 응답을 렌더링합니다(이미지가 표시됩니다).
6. 그런 다음 Repeater에서 roundcube_sessauth 쿠키를 수정하거나 삭제하여 세션을 무효화하고 요청을 보낸 후 응답을 렌더링합니다(메인 로그인 페이지가 표시됩니다).
7. 유효한(원래) 쿠키로 동일한 요청을 전송하여 세션 만료를 확인하고 200 OK 응답을 확인합니다(여전히 메인 로그인 페이지가 표시됩니다).
8. Roundcube 작성 메일 섹션의 오른쪽 모서리에서 "세션이 유효하지 않거나 만료되었습니다"라는 메시지를 확인합니다.
9. 페이지를 새로고침합니다(로그인 페이지로 돌아갑니다).
10. 동일한 자격 증명으로 다시 로그인합니다.
11. XSS 경고가 자동으로 표시되고 CSS 인젝션 및 HTML 인젝션이 포함된 복원 메시지 팝업이 나타납니다.

개념 증명

'"><script>alert("XSS")</script> <h1>HTML</h1><h2>Injection</h2> <b/style=position:fixed;top:0;left:0;font-size:200px>CSS Injection<!--

버전 1.5.9에서 테스트 완료

버전 1.16.15에서 테스트 완료

저장형 XSS

HTML + CSS 인젝션

참고 자료

• Roundcube 보안 권고 https://roundcube.net/news/2026/05/24/security-updates-1.6.16-and-1.7.1

• Roundcube 1.6.16 릴리스 https://github.com/roundcube/roundcubemail/releases/tag/1.6.16

• Roundcube 1.7.1 릴리스 https://github.com/roundcube/roundcubemail/releases/tag/1.7.1

• Roundcube 변경 로그 https://github.com/roundcube/roundcubemail/blob/master/CHANGELOG.md

• SentinelOne CVE 항목 https://www.sentinelone.com/vulnerability-database/cve-2026-48849/

면책 조항

이 개념 증명은 전적으로 교육, 연구 및 방어적 보안 목적으로 제공됩니다. 테스트는 소유하거나 평가 권한이 있는 시스템에서만 수행해야 합니다.