Dezvoltatorul Roundcube a lansat actualizări de securitate urgente pentru a remedia două vulnerabilități critice descoperite în aplicația sa de webmail, transmite DNSC.
Deficiențele de securitate, înregistrate ca CVE-2026-54432 și CVE-2026-54433, permit atacuri de tip Stored Cross-Site Scripting, denumit pe scurt XSS. Experții avertizează că una dintre aceste breșe poate fi exploatată fără ca utilizatorul să interacționeze în vreun fel cu mesajul, un scenariu cunoscut sub numele de „zero-click”.
Prima vulnerabilitate, identificată ca CVE-2026-54432, este cauzată de tratarea necorespunzătoare a tipului MIME al atașamentelor afișate în pagina de avertizare privind validarea acestora. Aceasta le permite atacatorilor să injecteze și să execute cod JavaScript periculos în browserul unui utilizator deja autentificat. Cea de-a doua breșă, CVE-2026-54433, afectează mecanismul de procesare și afișare a mesajelor în format text simplu, având un risc ridicat, întrucât se execută automat în contextul sesiunii utilizatorului.
Conform specialiștilor, impactul potențial al exploatării acestor vulnerabilități este sever. Atacatorii pot prelua controlul asupra conturilor afectate prin compromiterea sesiunilor de autentificare, pot accesa neautorizat mesajele de e-mail și pot efectua acțiuni în numele utilizatorului, inclusiv modificarea setărilor sau transmiterea de mesaje. Versiunile afectate sunt Roundcube Webmail 1.6.x, înainte de versiunea 1.6.17, și Roundcube Webmail 1.7.x, înainte de versiunea 1.7.2.
Pentru a reduce riscurile, administratorii de sistem sunt sfătuiți să actualizeze de urgență aplicația la versiunile remediate, respectiv 1.6.17 sau 1.7.2. Înainte de aplicarea actualizărilor, se recomandă realizarea unei copii de siguranță a fișierelor, a bazei de date și a configurației. În plus, autoritățile sugerează analizarea jurnalelor serverului și restricționarea accesului administrativ.
Întrucât una dintre vulnerabilități poate fi exploatată fără interacțiunea utilizatorului, DNSC recomandă aplicarea cu prioritate a actualizărilor de securitate disponibile. În mediile expuse, se recomandă de asemenea invalidarea sesiunilor active după actualizare, pentru a-i forța pe utilizatori să se reautentifice.
Te-ar putea interesa și: Monitoare LG și Alienware ar fi fost surprinse instalând automat adware pentru Windows
