Aktywnie wykorzystywana w atakach
Roundcube Webmail SQL Injection Vulnerability
Roundcube - Roundcube Webmail · Figuruje w katalogu CISA KEV od 2023-06-22. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply updates per vendor instructions.
CVE-2021-44026
KrytyczneCVSS 9.8KEVStreszczenie
Roundcube w wersjach przed 1.3.17 oraz 1.4.x przed 1.4.12 jest podatny na potencjalną iniekcję SQL poprzez parametr search lub search_params. Luka może pozwolić atakującemu na manipulację zapytaniami do bazy danych.
Ocena ryzyka
Atakujący może wykonać nieautoryzowane zapytania SQL, co może prowadzić do wycieku danych, modyfikacji lub usunięcia informacji z bazy danych. Wymaga to jednak interakcji z funkcją wyszukiwania.
Rekomendacja
Zaktualizuj Roundcube do wersji 1.3.17 lub 1.4.12 (lub nowszej). Jeśli aktualizacja nie jest możliwa, rozważ ograniczenie dostępu do funkcji wyszukiwania lub zastosowanie filtra WAF.
Inne podatności w Roundcube
Zobacz wszystkie- CVE-2016-9920Wysokie
W wersjach Roundcube przed 1.1.7 oraz 1.2.x przed 1.2.3, brak odpowiedniej konfiguracji serwera SMTP i włączenie programu sendmail pozwala na nieprawidłowe ograniczenie użycia niestandardowych adresów envelope-from w linii poleceń sendmail. To umożliwia zdalnym uwierzytelnionym użytkownikom wykonanie dowolnego kodu poprzez zmodyfikowane żądanie HTTP, które wysyła spreparowaną wiadomość e-mail.
- CVE-2015-8770Wysokie
Podatność typu directory traversal w funkcji set_skin w pliku rcmail_output_html.php w Roundcube przed wersją 1.0.8 oraz 1.1.x przed wersją 1.1.4 umożliwia zdalnym uwierzytelnionym użytkownikom z określonymi uprawnieniami odczyt dowolnych plików lub potencjalne wykonanie dowolnego kodu poprzez wykorzystanie parametru _skin z sekwencją .. (kropka kropka) w index.php.
- CVE-2024-42009KrytyczneAktywnie exploitowane
Podatność Cross-Site Scripting w Roundcube do wersji 1.5.7 i 1.6.x do 1.6.7 pozwala zdalnemu atakującemu na kradzież i wysyłanie wiadomości e-mail ofiary poprzez spreparowaną wiadomość, wykorzystującą problem desanityzacji w message_body() w program/actions/mail/show.php.
- CVE-2026-48846Średnie
W Roundcube Webmail w wersjach 1.6.x przed 1.6.16 oraz 1.7.x przed 1.7.1 funkcja blokowania zdalnych obrazów może zostać ominięta poprzez spreparowaną wartość CSS var() w wiadomości e-mail, co może prowadzić do ujawnienia informacji lub ominięcia kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
Roundcube before 1.3.17 and 1.4.x before 1.4.12 is prone to a potential SQL injection via search or search_params.