CVE-2023-5631
— 神龙十问 AI 深度分析摘要
CVSS 6.1 · Medium
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Roundcube Webmail 存在 **跨站脚本 (XSS)** 漏洞。
📉 **后果**：攻击者可注入并执行 **任意 JavaScript 代码**，导致用户会话劫持、数据泄露或恶意重定向。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-79 (跨站脚本)。
📍 **缺陷点**：`program/lib/Roundcube/rcube_washtml.php` 处理逻辑存在安全缺陷，未能正确过滤恶意 HTML/SVG 内容。
Q3影响谁？（版本/组件）
📦 **产品**：Roundcube Webmail。
📅 **受影响版本**：
- **1.4.x**：< 1.4.15
- **1.5.x**：< 1.5.5
- **1.6.x**：< 1.6.4
Q4黑客能干啥？（权限/数据）
🕵️ **权限**：无需管理员权限，普通用户即可触发。
💾 **数据**：可窃取 **Cookie/Session**、读取收件箱内容、执行钓鱼攻击或篡改页面内容。
Q5利用门槛高吗？（认证/配置）
🚪 **利用门槛**：**低**。
🔑 **认证**：无需认证 (PR:N)。
👀 **交互**：需用户点击或查看恶意邮件 (UI:R)。
🌐 **网络**：远程利用 (AV:N)。
Q6有现成Exp吗？（PoC/在野利用）
💻 **PoC**：**有**。
🔗 **来源**：GitHub 上已有公开 POC (如 `greandfather` 和 `soreta2` 仓库)。
📝 **原理**：通过构造包含恶意 SVG 的 HTML 邮件触发。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**：
1. 检查 Roundcube 版本号是否在上述受影响列表中。
2. 扫描 `rcube_washtml.php` 文件是否存在。
3. 测试发送包含恶意 SVG 标签的 HTML 邮件，观察是否执行脚本。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：**已发布补丁**。
📢 **版本**：1.6.4, 1.5.5, 1.4.15。
🔗 **链接**：Roundcube 官网 2023-10-16 发布的安全更新公告。
Q9没补丁咋办？（临时规避）
⚠️ **临时规避**：
1. **升级**至最新安全版本。
2. 若无法升级，限制邮件客户端的 **HTML 渲染** 功能。
3. 部署 WAF 过滤恶意 SVG/JS 注入。
Q10急不急？（优先级建议）
🔥 **优先级**：**高**。
📅 **CVSS**：3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N。
💡 **建议**：由于无需认证且 PoC 公开，建议 **立即升级** 或应用缓解措施，防止自动化攻击。