CVE-2026-35537
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
Roundcube Webmail przed wersjami 1.5.14 i 1.6.14 ma podatność na niebezpieczną deserializację w handlerze sesji redis/memcache, co może prowadzić do zapisu dowolnych plików przez nieuwierzytelnionych atakujących.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego wykonania kodu lub zapisu złośliwych plików przez nieuwierzytelnionego atakującego, co może prowadzić do pełnego przejęcia serwera.
Rekomendacja
Zaleca się natychmiastową aktualizację Roundcube do wersji 1.5.14 lub 1.6.14 oraz wdrożenie bezpieczniejszego handlera sesji.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in Roundcube Webmail before 1.5.14 and 1.6.14. Unsafe deserialization in the redis/memcache session handler may lead to arbitrary file write operations by unauthenticated attackers via crafted session data.