Gebruikers van Roundcube Webmail zijn het doelwit van cross-site-scripting (XSS)-aanvallen, waarbij aanvallers misbruik van een bekende kwetsbaarheid in de software maken om informatie van gebruikers te stelen, zo waarschuwt de Amerikaanse overheid. Roundcube is opensource-webmailsoftware en wordt door allerlei organisaties gebruikt.

Een kwetsbaarheid in de software, aangeduid als CVE-2023-43770, maakt via speciaal geprepareerde links in e-mailberichten XSS mogelijk. Het probleem wordt veroorzaakt door het verwerken van linkrefs in plaintext berichten. Een aanvaller kan zo informatie van gebruikers buitmaken. De impact van de kwetsbaarheid is op een schaal van 1 tot en met 10 beoordeeld met een 6.1. Eind september vorig jaar verscheen er een beveiligingsupdate voor de kwetsbaarheid.

Het Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security laat weten dat er nu misbruik van het beveiligingslek wordt gemaakt en heeft overheidsinstanties die met Roundcube werken opgedragen om de update voor 4 maart uit te rollen, mocht dat nog niet zijn gedaan. Details over de aanvallen zijn niet gegeven. Vorig jaar werd bekend dat een ander XSS-lek in Roundcube bij zeroday-aanvallen werd gebruikt voor het stelen van e-mail van gebruikers.