PT-2025-23462 · Unknown+5 · Roundcube Webmail+5
Firs0V
·
Publicado
2019-11-09
·
Atualizado
2026-06-15
·
CVE-2025-49113
CVSS v3.1
9.9
Crítica
| Vetor | AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
Roundcube Webmail versões anteriores a 1.5.10
Roundcube Webmail versões 1.6.x anteriores a 1.6.11
Description
Usuários autenticados podem obter a execução remota de código devido à validação inadequada do parâmetro
from no endpoint 'program/actions/settings/upload.php'. Esta falha leva à Deserialização de Objetos PHP, um processo onde dados não confiáveis são usados para abusar da lógica de uma aplicação para executar código arbitrário. Estima-se que mais de 85.000 servidores tenham sido alvo de ataques. A exploração no mundo real foi vinculada a grupos estatais como APT28 e Winter Vivern, bem como ao grupo CapFix, que visou os setores industrial e de aviação na Rússia usando o backdoor CapDoor e o SectopRAT. Além disso, a vulnerabilidade foi usada para invadir o provedor de e-mail Cock.li, resultando no roubo de dados de mais de um milhão de usuários.Recommendations
Atualize para a versão 1.5.10 LTS ou 1.6.11.
Como medida paliativa temporária, considere desativar as funções de upload de arquivos até que a atualização seja aplicada.
Restrinja as permissões de upload de arquivos apenas a usuários confiáveis.
Monitore os logs do servidor web para solicitações suspeitas ao endpoint 'program/actions/settings/upload.php'.
Exploit
Correção
DoS
RCE
Deserialization of Untrusted Data
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Alt Linux
Debian
Linuxmint
Red Os
Roundcube Webmail
Ubuntu