CVE-2020-35730

Falha de XSS armazenado no Roundcube Webmail, explorável por qualquer pessoa que consiga enviar um e-mail em texto plano para a vítima — sem precisar de conta no sistema nem de HTML na mensagem. O componente que converte referências de link em texto plano para links clicáveis falha em sanitizar o conteúdo, permitindo que JavaScript seja executado no contexto do webmail quando a vítima abre a mensagem. Está no catálogo KEV da CISA como exploração confirmada, o que eleva a prioridade de correção mesmo com CVSS moderado (6.1).

A vulnerabilidade está na classe rcube_string_replacer.php, especificamente na função linkref_addindex, responsável por processar 'link reference elements' em e-mails de texto plano — o formato onde o corpo da mensagem usa uma referência numérica ou textual (ex.: um marcador no texto) que é resolvida em outro ponto da mensagem para uma URL real, e o Roundcube converte isso automaticamente em um link `` clicável na visualização web. O bug (CWE-79, Improper Neutralization of Input During Web Page Generation) é que o conteúdo dessa referência não passa pela mesma sanitização aplicada a links convencionais antes de ser inserido no HTML renderizado.

O atacante controla o conteúdo do corpo do e-mail: ele monta uma mensagem em texto plano (ou HTML) contendo um link reference cujo destino é um payload JavaScript em vez de uma URL legítima. Não há pré-requisito de autenticação no Roundcube nem de configuração não padrão — o atacante só precisa conhecer o endereço de e-mail da vítima e enviar a mensagem por qualquer via de entrega normal (SMTP). A condição real de exploração é a interação do usuário (UI:R no vetor CVSS): a vítima precisa abrir/visualizar a mensagem maliciosa na interface web do Roundcube para que o script seja processado e executado no contexto da sessão logada, no mesmo domínio da aplicação.

Como é armazenado (stored XSS), o payload persiste na caixa de entrada até ser aberto, e a exploração bem-sucedida dá ao atacante execução de JavaScript arbitrário no navegador da vítima dentro da sessão do webmail — o que normalmente permite roubo de sessão/cookies, leitura de outras mensagens, alteração de configurações da conta ou encadeamento com outras falhas do Roundcube. A presença no catálogo KEV da CISA confirma exploração ativa em ambientes reais, e existe PoC pública, reduzindo a barreira técnica para replicação do ataque.

A correção definitiva é atualizar para as versões corrigidas: 1.2.13 (branch LTS 1.2.x), 1.3.16 (branch 1.3.x) ou 1.4.10 (branch 1.4.x/stable), todas lançadas em 27/12/2020 e que incluem o patch que trata corretamente o conteúdo de link reference antes de renderizá-lo. Não há flag de configuração documentada pelo fornecedor que mitigue a falha sem aplicar o patch — o problema está na lógica de parsing/renderização de mensagens, não em uma opção habilitável ou desabilitável.

Caso a atualização imediata não seja viável, o controle compensatório real é restringir ou desabilitar a pré-visualização automática/render HTML de mensagens de origem não confiável (quando essa opção existir na configuração do cliente), reduzindo a chance de renderização automática do payload, mas isso não elimina o risco caso o usuário abra a mensagem manualmente. Backups antes de atualizar são recomendados pelo próprio fornecedor nas notas de release.

Não há assinatura de rede confiável, já que a exploração ocorre inteiramente dentro do conteúdo de uma mensagem de e-mail legítima entregue por SMTP e processada no lado do cliente ao ser renderizada no webmail — não gera padrão distinto de tráfego HTTP de ataque. O sinal mais concreto é varrer o conteúdo de mensagens armazenadas (IMAP) por padrões de link reference cujo destino contenha esquemas `javascript:` ou marcação HTML anômala fora do uso normal de URLs; isso exige inspeção de conteúdo, não apenas logs de acesso ao webmail.