[TLP:CLEAR] Roundcube Webmail opravuje 1 kritickú zraniteľnosť
Roundcube verziami 1.6.11 a 1.5.10 opravuje 1 kritickú zraniteľnosť v produkte Roundcube Webmail [1]. Debian a Ubuntu zatiaľ pre stabilné vydania opravu nevydali, Red Hat produktov sa zraniteľnosť netýka [2][3]. Gentoo má k dispozícii opravenú verziu 1.6.11 ako testing [4]. Manuálnu opravu je možné vykonať vytvorením a aplikovaním záplaty z opravených súborov dostupných na [5]. Zmeny je možné overiť v commite dostupnom na [6].
Autentizovanému vzdialenému útočníkovi je umožnené spúšťať ľubovolný PHP kód na serveri zaslaním špeciálne vytvorenej požiadavky na nahrávanie súboru [7].
Zraniteľnosť sa nachádza v produkte:
- Roundcube; >1.5.10; >=1.6, <1.6.11;
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Viac informácií:
- CVE-2025-49113 na cve.org, NVD
- CWE-502: Deserialization of Untrusted Data na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 2. 6. 2025.
Odkazy
- [1] https://roundcube.net/news/2025/06/01/security-updates-1.6.11-and-1.5.10
- [2] https://security-tracker.debian.org/tracker/CVE-2025-49113
- [3] https://access.redhat.com/security/cve/cve-2025-49113
- [4] https://packages.gentoo.org/packages/mail-client/roundcube
- [5] https://github.com/roundcube/roundcubemail/releases/tag/1.6.11
- [6] https://github.com/roundcube/roundcubemail/commit/0376f69e958a8fef7f6f09e352c541b4e7729c4d
- [7] https://nvd.nist.gov/vuln/detail/CVE-2025-49113
Za CESNET, z.s.p.o. Martin Krajči dňa 2. 6. 2025.