CVE-2026-54433

总结

在 Roundcube Webmail 1.6.17 之前及 1.7.x 至 1.7.2 之前的版本中，存在通过精心构造的纯文本电子邮件消息触发的存储型跨站脚本（XSS）漏洞。攻击者控制的 JavaScript 仅需受害者打开或预览该消息即可在其已认证会话中执行（零点击）。

• CVE-2026-54433漏洞利用

  可配置的 Python PoC，针对 CVE-2026-54433——Roundcube 纯文本邮件渲染器中的存储型 XSS 漏洞。可生成精心构造的 .eml 文件，通过 SMTP 发送，并在 Docker 实验室中验证影响。