CVE-2025-49113: fallo crítico en Roundcube Webmail
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.
Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Roundcube Webmail posee una falla de seguridad que permite a usuarios autenticados ejecutar código malicioso en el servidor mediante una solicitud especialmente elaborada. Esto ocurre porque la aplicación no valida correctamente el parámetro _from en la URL antes de procesarlo.
La vulnerabilidad existe en program/actions/settings/upload.php donde el parámetro _from sufre deserialización de objetos PHP sin validación. Un atacante autenticado puede explotarla para lograr ejecución remota de código construyendo un payload de objeto serializado malicioso. Afecta versiones de Roundcube anteriores a 1.5.10 y 1.6.x anteriores a 1.6.11.
El análisis completo de esta CVE está disponible en portugués →
En el mismo producto, de las más peligrosas a las menos.