Door Anoniem: Misbruik vereist dat de aanvaller zich op de mailserver kan authenticeren. Authenticeren als een gewone gebruiker dus en RoundCube heeft geen root/admin rechten. Wat kan er dan nog mis gaan? kan deze user de rechten van roundcube user krijgen en via tcp/ip dingen doen (als het van selinux mag)? Ik verwacht onder windows wel veel meer problemen omdat daar webservices admin rechten heeft. Wat kan er nog mis gaan? Famous first and last words in de IT. Gewone gebruiker kan door ontwerp fout administrratieve acties uitvoeren middels low privilege. Anders was het ook geen 9.9 melding met Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H PoC video https://www.youtube.com/watch?v=TBkTbMJWHJY Met andere woorden als aanvallers controle kunnen krijgen over 1 reguliere gebruiker is je mailserver fcked. En we weten allemaal hoe goed gemiddelde gebruikers zijn met hun online veiligheid. Windows heeft hier niks mee te maken *alle mailservers* zijn kwetsbaar qua Roundcube ouder dan de gestelde patch ...