🇰🇷 한글 설명
Roundcube Webmail 1.6.17 미만 및 1.7.x의 2 미만 버전에는 조작된 일반 텍스트 이메일을 통한 저장형 크로스사이트 스크립팅(XSS) 취약점이 존재합니다. 공격자가 삽입한 자바스크립트는 피해자가 해당 메시지를 열거나 미리 보기만 해도 인증된 세션 안에서 실행됩니다.
💡 쉬운 설명
악성 이메일을 열어보거나 미리 보기만 해도 공격자의 코드가 자동으로 실행될 수 있습니다. 이 코드로 로그인된 사용자의 웹메일 세션이 탈취될 위험이 있습니다.
🇺🇸 원문 (English)
In Roundcube Webmail before 1.6.17 and 1.7.x before 1.7.2, there is Stored Cross-Site Scripting (XSS) via a crafted plain-text email message. The attacker-controlled JavaScript executes within the victim's authenticated session simply by opening or previewing the message (zero-click).
📍 영향받는 시스템
Roundcube Webmail 1.6.17 미만, 1.7.0~1.7.1 버전
⚔️ 공격 벡터
조작된 일반 텍스트 이메일을 피해자에게 보내고, 피해자가 메시지를 열거나 미리 보면 스크립트가 실행됨 (클릭 없이 실행)
🛡️ 대응 방법
Roundcube를 1.6.17 이상 또는 1.7.2 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 1.6.17 이상이거나 1.7.2 이상이면 패치된 것이며, 그보다 낮으면 취약한 상태이므로 즉시 업데이트가 필요합니다. 출력이 없다면 설치 경로를 직접 확인해야 합니다.
grep -rhoE "Version[^0-9]*[0-9]+\.[0-9]+\.[0-9]+" /var/www/*/program/include/iniset.php /var/www/*/index.php 2>/dev/null | head -1