Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.
[TLP:CLEAR] Roundcube Webmail opravuje 1 kritickou zranitelnost
Roundcube verzemi 1.6.11 a 1.5.10 opravuje 1 kritickou zranitelnost v produktu Roundcube Webmail [1]. Debian a Ubuntu zatím pro stabilní vydání opravu nevydaly, Red Hat produktů se zranitelnost netýká [2][3]. Gentoo má k dispozici opravenou verzi 1.6.11 jako testing [4]. Manuální opravu lze provést vytvořením a aplikováním záplaty z opravených souborů dostupných na [5]. Změny lze ověřit v commitu dostupném na [6].
Autentizovaný vzdálený útočník může spouštět libovolný PHP kód na serveru zasláním speciálně vytvořeného požadavku na nahrání souboru [7].
Zranitelnost se nachází v produktu:
- Roundcube; >1.5.10; >=1.6, <1.6.11;
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Více informací:
- CVE-2025-49113 na cve.org, NVD
- CWE-502: Deserialization of Untrusted Data na cwe.mitre.org
Zranitelnost byla veřejně oznámena 2. 6. 2025.
Odkazy
- [1] https://roundcube.net/news/2025/06/01/security-updates-1.6.11-and-1.5.10
- [2] https://security-tracker.debian.org/tracker/CVE-2025-49113
- [3] https://access.redhat.com/security/cve/cve-2025-49113
- [4] https://packages.gentoo.org/packages/mail-client/roundcube
- [5] https://github.com/roundcube/roundcubemail/releases/tag/1.6.11
- [6] https://github.com/roundcube/roundcubemail/commit/0376f69e958a8fef7f6f09e352c541b4e7729c4d
- [7] https://nvd.nist.gov/vuln/detail/CVE-2025-49113
Za CESNET, z.s.p.o. Martin Krajči dne 2. 6. 2025.