تم الكشف عن ثغرة أمنية عالية الخطورة غير مسبوقة في عميل البريد الإلكتروني RainLoop المفتوح المصدر والذي يمكن استخدامه كسلاح لسرقة رسائل البريد الإلكتروني من صناديق الوارد الخاصة بالضحايا.

قال الباحث الأمني ​​في SonarSource Simon Scannell في تقرير نُشر هذا الأسبوع: "يمكن استغلال الثغرة الأمنية في الكود [...] بسهولة من قبل المهاجم عن طريق إرسال بريد إلكتروني ضار إلى ضحية تستخدم RainLoop كعميل بريد".

"عندما يتم عرض البريد الإلكتروني من قبل الضحية، يكتسب المهاجم السيطرة الكاملة على جلسة الضحية ويمكنه سرقة أي من رسائل البريد الإلكتروني الخاصة به، بما في ذلك تلك التي تحتوي على معلومات حساسة للغاية مثل كلمات المرور والوثائق وروابط إعادة تعيين كلمة المرور."

تم تتبع هذا الخلل باعتباره CVE-2022-29360، وهو يتعلق بثغرة مخزنة في البرمجة النصية عبر المواقع (XSS) تؤثر على أحدث إصدار من RainLoop (الإصدار 1.16.0) الذي تم إصداره في 7 مايو 2021.

تحدث ثغرات XSS المخزنة، والتي تسمى أيضًا XSS المستمرة، عندما يتم حقن نص خبيث مباشرة في خادم تطبيق الويب المستهدف عن طريق إدخال المستخدم (على سبيل المثال، حقل التعليق) الذي يتم تخزينه بشكل دائم في قاعدة بيانات ويتم تقديمه لاحقًا إلى مستخدمين آخرين.

من خلال التأثير على جميع عمليات تثبيت RainLoop التي تعمل في ظل التكوينات الافتراضية، يمكن أن تأخذ سلاسل الهجوم التي تستفيد من الخلل شكل رسالة بريد إلكتروني مُعد خصيصًا يتم إرسالها إلى الضحايا المحتملين والتي، عند عرضها، تقوم بتنفيذ حمولة JavaScript ضارة في المتصفح دون الحاجة إلى أي تدخل من المستخدم.