Como \S inclui < e >, uma string que começa como um endereço de e-mail podia fazer com que a substituição do auto-link consumisse uma tag HTML de abertura, deixando o restante para ser interpretado como marcação. Esta forma mínima ilustra o primitivo:

A correção upstream restringe o sufixo de consulta para que ele não possa conter colchetes angulares nem espaços em branco:

O fornecedor descreve o problema como "zero-click" porque nenhum clique em link é necessário. Abrir ou visualizar o e-mail enquanto autenticado continua sendo a ação do cliente de e-mail que renderiza o payload.

Versões afetadas e corrigidas

Os commits públicos de correção são:

• Linha 1.7: 5477e979aae0317e111564bfc9971ba7707cc165
• Linha 1.6: 4c278f4868c67b163567cae3d74e58d872913459

Atualize para o Roundcube 1.6.17 / 1.7.2 ou uma versão suportada mais recente.

Pré-condições e escopo

• O atacante precisa de uma forma de entregar o e-mail à vítima, mas não precisa de conta, senha, acesso a plugins ou acesso de administrador no Roundcube.
• A mensagem deve ser renderizada por uma versão afetada do Roundcube como text/plain.
• A vítima deve ter uma sessão autenticada do Roundcube e abrir ou visualizar a mensagem.
• Nenhum plugin de terceiros do Roundcube é necessário.
• O teste Docker positivo usou o skin Elastic padrão do Roundcube. O primitivo raiz está na conversão de texto simples do lado do servidor; outros skins não foram declarados como testados de forma independente aqui.
• O controle "recursos remotos foram bloqueados" do Roundcube não impediu o primitivo testado: a imagem oculta usa um src relativo que falha para invocar onerror. Um callback do coletor ainda requer conectividade de rede do navegador.
• O cookie de sessão do Roundcube é normalmente HttpOnly. Esta PoC não tenta lê-lo. Sua requisição de mesma origem usa automaticamente a sessão autenticada, e o assunto de uma mensagem separada é a prova de impacto.

O resultado demonstrado é a execução de JavaScript autenticado e o acesso de leitura ao assunto de um e-mail anterior. Assunção de conta, roubo arbitrário de corpos de mensagens e execução de código no servidor não são reivindicados por este repositório.

Comportamento da PoC

cve-2026-54433-poc.py é autocontido e usa apenas a biblioteca padrão do Python. Ele:

1. constrói um e-mail text/plain RFC 5322 comum e especialmente elaborado;
2. varre, por padrão, no máximo 50 UIDs mais baixos na caixa de correio atual do Roundcube;
3. seleciona o primeiro assunto mais antigo que não comece com CVE-2026-54433;
4. envia via POST subject, origin e task para /capture/<random-marker>;
5. nunca lê cookies, credenciais, corpos de mensagens ou anexos;
6. opcionalmente envia o e-mail usando SMTP simples, STARTTLS ou TLS implícito;
7. opcionalmente consulta o Webhook.site ou um endpoint de status JSON compatível.

O payload insere o comentário DOM:

Ele também oculta o fragmento de endereço com auto-link e o indicador de imagem quebrada, exibindo o corpo benigno fornecido pelo chamador.

Geração offline

Gere o e-mail sem fazer uma conexão de rede:

Isso grava:

• cve-2026-54433-trigger.eml
• cve-2026-54433-evidence.json

Inspecione a mensagem gerada antes de usar o modo de envio.

Teste SMTP autorizado com Webhook.site

O valor de --collector pode ser um UUID do Webhook.site, uma URL de captura ou uma URL #!/view/. O script deriva os endpoints de captura e de polling.

Se SMTP_PASSWORD estiver ausente, o script solicita a senha sem ecoá-la ou armazená-la. Uma variável com outro nome pode ser selecionada com --smtp-password-env NAME. Evite --smtp-password em sistemas multiusuário porque os argumentos de linha de comando podem ficar visíveis em listagens de processos ou no histórico do shell.

O script solicita um YES explícito antes de enviar. Em automação de laboratório não interativa e já autorizada, use --yes. Ele aguarda até 24 horas por um callback por padrão; use --timeout SECONDS para alterar isso.

Para um coletor que não seja o Webhook.site, informe a base de captura e o endpoint de status JSON opcional:

O collector.py incluído implementa os endpoints compatíveis /capture/<marker> e /status. Ele se vincula ao loopback por padrão. A implantação real com HTTPS e o controle de acesso ficam intencionalmente a cargo do testador autorizado.

Laboratório Docker reproduzível

O laboratório não tem portas de host publicadas e contém apenas mensagens sintéticas. Ele usa a mesma PoC em Python para gerar o gatilho, entrega ambas as mensagens em uma caixa de correio Dovecot descartável, faz login por meio de um navegador headless descartável e registra se o handler injetado leu o assunto anterior.

Requisitos: Docker, Python 3, OpenSSL e jq.

Teste vulnerável:

Controle corrigido:

Para uma demonstração em vídeo ou com navegador ao vivo, execute:

Ele publica o Roundcube e o coletor visual somente no loopback. Abra as duas URLs impressas pelo script, mostre o coletor inicialmente vazio, faça login usando as credenciais sintéticas impressas, clique no e-mail de gatilho e volte ao coletor. O assunto sintético capturado aparece em uma tabela com atualização automática. Ctrl-C remove os contêineres e a rede descartáveis.

Para gravar a interação do navegador e um callback real do Webhook.site, use o gravador reproduzível. Ele requer Chrome, Xvfb, ffmpeg, Docker e um token autorizado do Webhook.site fornecido pelo ambiente:

O MP4 resultante mostra a linha visível do gatilho no Roundcube, um clique de mouse anotado e o Webhook.site exibindo o assunto sintético recebido. O token nunca é armazenado na árvore de fontes.

Artefato gravado: assets/CVE-2026-54433-webhook-demo.mp4

A gravação inclui um painel de terminal visível mostrando a invocação Python somente de geração, sua saída de geração de payload, o clique no Roundcube e a requisição resultante ao Webhook.site.

A demonstração visual também aceita COLLECTOR_URL e COLLECTOR_VIEW_URL; aponte ambos para um token autorizado do Webhook.site para mostrar o coletor real recebendo o assunto sintético. Não reutilize um token que contenha requisições não relacionadas.

Resultados reproduzidos

A comparação de ponta a ponta foi executada em 14/08/2026 em Linux x86-64 com Docker:

Corpo do callback positivo (valor sintético, origem sanitizada):

A comparação estruturada e sanitizada está em docs/e2e-results.json.

Verificar a árvore de publicação

A verificação offline compila as fontes Python, gera um .eml novo e verifica seu tipo MIME, o primitivo do payload, o corpo visível, o comentário e os metadados:

Defina RUN_DOCKER=1 para acrescentar ambos os controles Docker de ponta a ponta:

Snapshot da busca pública por exploits

Em 14/08/2026, buscas direcionadas por CVE-2026-54433 no GitHub, no Exploit-Database e no Packet Storm não localizaram um exploit de envio de e-mail validado e configurável com uma comparação vulnerável/corrigida de ponta a ponta. Entradas do fornecedor e de bancos de dados de vulnerabilidades, discussões sobre templates de scanner e artigos descritivos já existiam. Este é um snapshot de busca datado, não uma afirmação de que nenhuma outra PoC possa existir.

Referências

• Anúncio de lançamento de segurança do Roundcube
• Entrada do NVD para CVE-2026-54433
• Commit de correção do Roundcube 1.7
• Commit de correção do Roundcube 1.6

Descoberta da vulnerabilidade: Bohdan Kurinnoy, Samsung R&D Institute Ukraine (SRUKR), conforme creditado pelo Roundcube.

Pesquisa, validação de impacto e implementação do exploit: A. Ramos <[email protected]> (Twitter: @aramosf).

Sobre

PoC de XSS armazenado em e-mail de texto simples do Roundcube para a CVE-2026-54433, com evidência limitada de assunto de caixa de correio autenticada e um laboratório Docker vulnerável/corrigido.