Sonar 的漏洞研究团队在流行的开源网络邮件软件 Roundcube 中发现了一个严重的跨站脚本 （XSS） 漏洞。默认情况下，Roundcube 包含在服务器托管面板 cPanel 中，该面板在全球拥有数百万次安装。

攻击者可在受害者查看恶意电子邮件时触发该漏洞，在受害者的浏览器中执行任意 JavaScript，从而可能导致电子邮件、联系人、密码被盗和未经授权的电子邮件发送。

专家指出，政府雇员的电子邮件是APT组织开展网络间谍活动的宝贵目标。2023 年 10 月，ESET Research 透露，APT 组织 Winter Vivern 利用类似的漏洞针对欧洲政府实体。

专家们发现了两个 XSS 漏洞，分别被跟踪为 CVE-2024-42009 和 CVE-2024-42008，分别具有严重和高评级。这些缺陷会影响 Roundcube 版本 1.6.7 及更低版本，以及版本 1.5.7 及更低版本。

成功利用 CVE-2024-42009 无需用户交互，而对于 CVE-2024-42008，受害者只需单击一下即可。

“这些允许未经身份验证的攻击者窃取电子邮件和联系人，以及从受害者的帐户发送电子邮件。受害用户所要做的就是在Roundcube中查看恶意电子邮件，“Sonar发布的报告写道。“攻击者可以在受害者的浏览器中不断站稳脚跟，使他们能够不断泄露电子邮件，或者在下次输入密码时窃取受害者的密码。”

该公司没有透露漏洞的技术细节，以便让管理员有时间进行更新。然而，APT 组织可能仍然会发现将这些缺陷武器化的方法。研究人员强烈建议 Roundcube 管理员立即应用最新的补丁（版本 1.6.8 或 1.5.8）。受影响的用户应更改其电子邮件密码并清除 Roundcube 的浏览器站点数据。

专家们还发现了一个信息泄露漏洞，被跟踪为 CVE-2024-42010，该漏洞是由未充分过滤呈现的电子邮件中的级联样式表 （CSS） 令牌序列引起的。