CVE-2021-44026criticalbajo ataqueCWE-89

CVE-2021-44026

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Webmail+ Monitorear roundcube

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

90Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA y tiene prueba de concepto pública.

ssvc Actcvss 9.8epss 70%
de la publicación al arma725 días
Publicada en NVD19 nov
1ª PoC+725d
CISA KEV+580d
Lo que declaran los fabricantes (VEX)

Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.

Red Hatdocumento VEX ↗
No afectado
1 producto — porque el código vulnerable no está presente en el producto
red_hat_products
Acción exigida por CISAplazo federal: 2023-07-13

Apply updates per vendor instructions.

En resumen

Roundcube en versiones anteriores a 1.3.17 y 1.4.12 tiene una falla en la función de búsqueda que permite a atacantes inyectar comandos SQL maliciosos. Esto podría permitir que un atacante robe correos electrónicos, contraseñas u otros datos sensibles del servidor de correo.

Detalle técnico

Vulnerabilidad de inyección SQL en la funcionalidad de búsqueda y search_params de Roundcube permite que atacantes ejecuten consultas SQL arbitrarias contra la base de datos. El vector de ataque aprovecha la falta de sanitización adecuada de parámetros de búsqueda, pudiendo resultar en exfiltración de datos, bypass de autenticación o manipulación de la base de datos.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Roundcube before 1.3.17 and 1.4.x before 1.4.12 is prone to a potential SQL injection via search or search_params.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
n/a · n/a
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.