CVE-2025-49113
Kritik CISA KEV: Aktif İstismarTeknik Veri (Otomatik)
- CVSS Skoru
- 9.9
- EPSS
- 97.7%
- CWE
- CWE-502
- KEV Durumu
- Evet
Yayım tarihi: 2 Haziran 2025 · CISA KEV son iyileştirme tarihi: 13 Mart 2026
Etkilenen: roundcube webmail
Roundcube Webmail 1.5.10 ve 1.6.x sürümünden önce 1.6.11'e kadar, program/actions/settings/upload.php dosyasında bir URL'deki _from parametresinin doğrulanmaması nedeniyle, kimlik doğrulamış kullanıcılar tarafından uzaktan kod yürütülmesine izin verir ve bu da PHP Nesne Serileştirme sorunlarına yol açar.
Orijinal açıklama (İngilizce)
Roundcube Webmail before 1.5.10 and 1.6.x before 1.6.11 allows remote code execution by authenticated users because the _from parameter in a URL is not validated in program/actions/settings/upload.php, leading to PHP Object Deserialization.
Referanslar
- https://fearsoff.org/research/roundcube
- https://github.com/roundcube/roundcubemail/commit/0376f69e958a8fef7f6f09e352c541b4e7729c4d
- https://github.com/roundcube/roundcubemail/commit/7408f31379666124a39f9cb1018f62bc5e2dc695
- https://github.com/roundcube/roundcubemail/commit/c50a07d88ca38f018a0f4a0b008e9a1deb32637e
- https://github.com/roundcube/roundcubemail/pull/9865
- https://github.com/roundcube/roundcubemail/releases/tag/1.5.10
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.