PT-2021-5416 · Roundcube+3 · Roundcube+3

Guilhem Moulin · Publicado 2019-11-09 · Atualizado 2026-03-12 · CVE-2021-44026

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Roundcube anteriores à 1.3.17

Versões do Roundcube 1.4.x anteriores à 1.4.12

Descrição

O problema está relacionado ao roundcube, uma solução de webmail baseada em AJAX com skins personalizáveis para servidores IMAP, que não sanitizava adequadamente as solicitações e as mensagens de e-mail. Isso permitiria que um invasor realizasse ataques de Cross-Site Scripting (XSS) ou injeção de SQL por meio dos parâmetros search ou search params.

Recomendações

Para versões anteriores à 1.3.17, atualize para a versão 1.3.17 ou posterior.

Para versões 1.4.x anteriores à 1.4.12, atualize para a versão 1.4.12 ou posterior.

Como solução temporária, considere restringir o acesso aos parâmetros vulneráveis search e search params até que um patch esteja disponível.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

ALT-PU-2019-3109

ALT-PU-2020-1898

ALT-PU-2020-2097

ALT-PU-2020-2319

ALT-PU-2020-2367

ALT-PU-2020-2518

ALT-PU-2020-2554

ALT-PU-2020-3561

ALT-PU-2020-3566

ALT-PU-2021-3558

ALT-PU-2022-1073

ALT-PU-2023-6826

ALT-PU-2025-1825

ALT-PU-2025-8283

BDU:2021-06259

BIT-ROUNDCUBE-2021-44026

CVE-2021-44026

DLA-2840-1

DSA-5013-1

MGASA-2022-0039

USN-5182-1

Produtos afetados

Alt Linux

Linuxmint

Roundcube

Ubuntu

Referências · 84

• 🔥 https://github.com/fearsoff-org/CVE-2025-49113 · Exploit
• 🔥 https://github.com/DrunkenShells/Disclosures/tree/master/CVE-2020-12640-PHP%20Local%20File%20Inclusion-Roundcube · Exploit
• 🔥 https://github.com/DrunkenShells/Disclosures/tree/master/CVE-2020-13965-Cross%20Site-Scripting%20via%20Malicious%20XML%20Attachment-Roundcube · Exploit
• 🔥 https://github.com/DrunkenShells/Disclosures/tree/master/CVE-2020-12641-Command%20Injection-Roundcube · Exploit
• 🔥 https://github.com/DrunkenShells/Disclosures/tree/master/CVE-2020-12625-Cross%20Site-Scripting%20via%20Malicious%20HTML%20Attachment-Roundcube · Exploit
• 🔥 https://github.com/s3cb0y/CVE-2023-43770-POC · Exploit
• 🔥 https://github.com/pentesttoolscom/roundcube-cve-2021-44026 · Exploit
• 🔥 https://github.com/bartfroklage/CVE-2024-37383-POC · Exploit
• 🔥 https://github.com/knight0x07/CVE-2023-43770-PoC · Exploit
• 🔥❌ https://github.com/greandfather/EXPLOIT-Roundcube-vulnerability-POC-CVE-2023-5631- · Exploit, Deleted
• https://github.com/roundcube/roundcubemail/commit/c8947ecb762d9e89c2091bda28d49002817263f1 · Correção
• https://github.com/roundcube/roundcubemail/commit/ee809bde2dcaa04857a919397808a7296681dcfa · Correção
• https://github.com/roundcube/roundcubemail/commit/7d7b1dfeff795390b69905ceb63d6391b5b0dfe7 · Nota
• https://github.com/roundcube/roundcubemail/commit/faf99bf8a2b7b7562206fa047e8de652861e624a · Nota
• https://github.com/roundcube/roundcubemail/issues/8193 · Nota