CERT ostrzega przed lukami w Roundcube

CERT Polska namierzył trzy poważne dziury w oprogramowaniu Roundcube. Problem tkwi w wtyczce twofactor_gauthenticator od producenta alexandregz.

Eksperci pomogli skoordynować ujawnienie tych luk. Mogły one otworzyć nieuprawnionym osobom drzwi do systemów użytkowników.

Ataki brute-force i błędy sesji

Podatność CVE-2026-107145 umożliwia atak typu brute-force na drugi składnik uwierzytelnienia. Brak limitu prób to zaproszenie dla hakerów. Ktoś z hasłem może wysyłać 6-cyfrowe kody aż do skutku.

Luka CVE-2026-107146 uderza w wygasanie sesji. Serwer nie zamyka połączenia po błędnej weryfikacji 2FA. Atakujący po prostu ignoruje przekierowanie do wylogowania i próbuje dalej.

Ominięcie 2FA przez sfałszowane nagłówki

Trzeci błąd, CVE-2026-107147, pozwala całkowicie pominąć drugi składnik uwierzytelniania. Wystarczy sfałszować nagłówki adresu klienta: Client-IP oraz X-Forwarded-For. To prosta droga do podszycia się pod zaufany adres IP z białej listy.