Matthieu Faou

**Nome do Software Vulnerável e Versões Afetadas** Afterlogic Aurora webmail versões 9.8.3 e anteriores **Descrição** Existe uma vulnerabilidade de cross-site scripting (XSS) no Afterlogic Aurora webmail. Um atacante pode enviar uma mensagem de e-mail HTML especialmente criada contendo JavaScript dentro de uma tag HTML img. Isso pode permitir que um atacante remoto execute código JavaScript arbitrário no navegador de um usuário do webmail, potencialmente possibilitando o acesso aos dados do usuário. O vetor de ataque envolve o envio de um e-mail malicioso. **Recomendações** Atualize o Afterlogic Aurora webmail para uma versão superior à 9.8.3.

**Nome do Software Vulnerável e Versões Afetadas** MDaemon Email Server versões 25.0.1 e anteriores **Descrição** Foi descoberta uma vulnerabilidade de Cross-Site Scripting (XSS) Armazenado, permitindo que um atacante remoto envie uma mensagem de e-mail HTML especialmente elaborada com JavaScript em uma tag `img`. Isso poderia permitir ao atacante carregar código JavaScript arbitrário no contexto da janela do navegador de um usuário do webmail e acessar dados do usuário. **Recomendações** Para as versões 25.0.1 e anteriores do MDaemon Email Server, atualize para uma versão superior a 25.0.1 para resolver o problema. Como solução temporária, considere restringir o uso de mensagens de e-mail HTML com JavaScript na tag `img` até que um patch esteja disponível.

**Nome do Software Vulnerável e Versões Afetadas** MDaemon Email Server versões anteriores a 24.5.1c **Descrição** Um problema de Cross-Site Scripting (XSS) existe onde um invasor remoto pode enviar um e-mail HTML contendo JavaScript dentro de uma tag `img`. Isso permite que o invasor carregue código JavaScript arbitrário no contexto da janela do navegador de um usuário de webmail. Esta falha foi explorada ativamente pelo grupo APT28, ligado à Rússia, na Operação RoundPress, visando organizações governamentais e de defesa na Europa Oriental, África e América do Sul para roubar credenciais e e-mails. **Recomendações** Atualize para a versão 24.5.1c ou posterior.

**Name of the Vulnerable Software and Affected Versions** Roundcube versions 1.4.15 and earlier, 1.5.x before 1.5.5, and 1.6.x before 1.6.4 **Description** The issue allows stored XSS via an HTML e-mail message with a crafted SVG document because of program/lib/Roundcube/rcube washtml.php behavior. This could allow a remote attacker to load arbitrary JavaScript code. The vulnerability has been exploited in the wild by groups such as Winter Vivern to target government entities and steal emails. The attackers send a specially crafted email message that includes a malicious payload, which is then executed on the victim's computer. **Recommendations** For versions 1.4.15 and earlier, update to version 1.4.15 or later. For versions 1.5.x before 1.5.5, update to version 1.5.5 or later. For versions 1.6.x before 1.6.4, update to version 1.6.4 or later. As a temporary workaround, consider disabling the `rcube washtml.php` function until a patch is available. Restrict access to the vulnerable `program/lib/Roundcube` module to minimize the risk of exploitation. Avoid using the `rcube washtml.php` behavior in the affected API endpoint until the issue is resolved.