CVE-2020-12625: Межсайтовый скриптинг через вредоносное HTML-вложение в Roundcube Webmail

Уязвимость межсайтового скриптинга (XSS) существует в версиях Roundcube до 1.4.4, 1.3.11 и 1.2.10.

Используя XML-элемент "<![CDATA[...]]>" в письме с вложением "text/html", злоумышленник может обойти фильтр скриптов Roundcube и выполнить произвольный вредоносный JavaScript в браузере жертвы при клике на вредоносное письмо.

Раскрытие информации разработчиком:

Раскрытие информации разработчиком и исправление для этой уязвимости можно найти здесь.

Требования:

Для эксплуатации этой уязвимости требуется:

• Ожидание, пока пользователь Roundcube откроет письмо, содержащее XSS

Доказательство концепции:

Более подробная информация и процесс эксплуатации приведены в этом PDF.