Betroffen ist die Webmail-Anwendung Roundcube Webmail. Dort steckt eine Schwachstelle vom Typ Stored Cross-Site Scripting: Der MIME-Typ eines E-Mail-Anhangs – also die Angabe, um welche Art von Datei es sich handelt – wird auf der Warnseite zur Anhangsprüfung nicht korrekt maskiert, bevor er im Browser angezeigt wird. Ein Angreifer kann daher eine E-Mail mit einem präparierten Anhang verschicken, dessen Typangabe Schadcode enthält. Öffnet der Empfänger die Nachricht und gelangt die Warnseite zur Anzeige, führt sein Browser diesen eingeschleusten Code im Kontext der Webmail-Sitzung aus. Damit kann der Angreifer Aktionen im Namen des angemeldeten Nutzers ausführen, Inhalte der Mailbox auslesen oder Sitzungsdaten abgreifen. Da der Schadcode dauerhaft in der gespeicherten Nachricht liegt, genügt das bloße Betrachten der E-Mail – weitere Mitwirkung des Opfers ist nicht nötig. Betroffen sind alle Nutzer der verwundbaren Ausgaben der Software.