Aktywnie wykorzystywana w atakach
Roundcube Webmail Remote Code Execution Vulnerability
Roundcube - Roundcube Webmail · Figuruje w katalogu CISA KEV od 2023-06-22. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply updates per vendor instructions.
CVE-2020-12641
KrytyczneCVSS 9.8KEVStreszczenie
Plik rcube_image.php w Roundcube Webmail przed wersją 1.4.4 pozwala atakującym na wykonanie dowolnego kodu poprzez metaznaki powłoki w ustawieniach konfiguracyjnych im_convert_path lub im_identify_path.
Ocena ryzyka
Atakujący może wykonać dowolny kod na serwerze, co może prowadzić do przejęcia kontroli nad serwerem pocztowym i dostępem do poufnych danych.
Rekomendacja
Zaktualizuj Roundcube Webmail do wersji 1.4.4 lub nowszej oraz zweryfikuj ustawienia konfiguracyjne im_convert_path i im_identify_path.
Inne podatności w Roundcube Webmail
Zobacz wszystkie- CVE-2015-5383Wysokie
Roundcube Webmail w wersji 1.1.x przed 1.1.2 umożliwia zdalnym atakującym uzyskanie poufnych informacji poprzez odczyt plików w katalogach (1) config, (2) temp lub (3) logs.
- CVE-2017-8114Wysokie
Roundcube Webmail umożliwia nieautoryzowane resetowanie haseł przez uwierzytelnionych użytkowników. Dotyczy to wersji przed 1.0.11, 1.1.x przed 1.1.9 oraz 1.2.x przed 1.2.5. Problem wynika z niewłaściwie ograniczonego wywołania exec w wirtualnych sterownikach i sterownikach sasl w wtyczce hasła.
- CVE-2016-4069Wysokie
W podatności CVE-2016-4069 w Roundcube Webmail przed wersją 1.1.5 występuje luka typu cross-site request forgery (CSRF), która umożliwia zdalnym atakującym przejęcie uwierzytelnienia użytkowników dla żądań pobierających załączniki. Może to prowadzić do odmowy usługi poprzez nadmierne zużycie dysku.
- CVE-2026-75010Średnie
Roundcube Webmail przed wersjami 1.6.18 i 1.7.3 ma podatność w sterowniku modoboa wtyczki hasła, która może ujawnić token uwierzytelniający API Modoboa do kontrolowanego przez użytkownika hosta poprzez spreparowane dane sesji. Problem dotyczy tylko instancji używających wtyczki hasła ze sterownikiem modoboa.
- CVE-2026-75007Średnie
Roundcube Webmail przed wersjami 1.6.18 i 1.7.3 ma podatność na wstrzyknięcie w filtrze wyszukiwania LDAP z powodu niepoprawnego escapowania podstawień %u/%fu/%d, co może prowadzić do ujawnienia informacji lub eskalacji uprawnień.
- CVE-2026-75006Średnie
Roundcube Webmail przed wersjami 1.6.18 i 1.7.3 ma niedostateczną sanityzację CSS w wiadomościach HTML, co może prowadzić do SSRF lub ujawnienia informacji, np. gdy linki do arkuszy stylów wskazują na hosty w sieci lokalnej. Problem wynika z niekompletnych poprawek dla CVE-2026-35540, CVE-2026-48843 i CVE-2026-62643.
- CVE-2026-75004Średnie
Roundcube Webmail przed wersjami 1.6.18 i 1.7.3 ma podatność polegającą na nieprawidłowym cytowaniu nazw reguł, co może prowadzić do obejścia ustawienia managesieve_disabled_actions poprzez spreparowaną nazwę reguły w skrypcie Sieve. Problem dotyczy tylko instancji używających wtyczki managesieve.
- CVE-2026-75003Średnie
Roundcube Webmail przed wersjami 1.6.18 i 1.7.3 ma podatność związaną z niezamkniętym url() w atrybucie FuncIRI obrazu SVG, co może umożliwić obejście blokowania zdalnych obrazów, prowadząc do ujawnienia informacji lub eskalacji uprawnień.
- CVE-2026-75002Wysokie
W Roundcube Webmail przed wersją 1.6.18 oraz w wersjach 1.7.x przed 1.7.3, desynchronizacja liczników bajtów w wyszukiwaniu poczty i komendzie LITERAL+ może prowadzić do ujawnienia informacji lub eskalacji uprawnień poprzez wstrzyknięcie komend IMAP.
- CVE-2026-75000Średnie
Roundcube Webmail przed wersjami 1.6.18 i 1.7.3 ma podatność związaną z nieprawidłową sanityzacją HTML/CSS atrybutu "by" animacji SVG, co może prowadzić do obejścia blokowania zdalnych obrazów, a w konsekwencji do ujawnienia informacji lub eskalacji uprawnień.
Oryginalny opis (angielski, źródło NVD)
rcube_image.php in Roundcube Webmail before 1.4.4 allows attackers to execute arbitrary code via shell metacharacters in a configuration setting for im_convert_path or im_identify_path.