CVE-2025-49113

Kritisch9.9 Veröffentlicht am 02.06.2025

Roundcube Webmail vor 1.5.10 und 1.6.x vor 1.6.11 ermöglicht authentifizierten Benutzern Remote Code Execution, da der _from-Parameter in einer URL in program/actions/settings/upload.php nicht validiert wird, was zu PHP Object Deserialization führt.

Aktiv ausgenutzt

Seit dem 20.02.2026 im CISA-Katalog ausgenutzter Schwachstellen
US-Bundesbehörden müssen sie bis zum 13.03.2026 beheben (BOD 22-01)
Erster Angriff 2 Tage nach der Veröffentlichung beobachtet
In Ransomware-Kampagnen eingesetzt

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Quelle: CISA KEV · 23.10.2026 20.10.2026 13.09.2026 08.09.2026 03.09.2026 21.08.2026

CVSS-Score9.9 / 10CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Schwachstellentyp (CWE)CWE-502, CWE-502

Herstellerdebian, roundcube

Betroffene Produkte

Hersteller	Produkt	Versionen
roundcube	webmail	< 1.5.10
debian	debian linux	11.0

Aktive Angriffe auf Roundcube machen SQL-Injection vor der Anmeldung zur höchsten Patch-Priorität

Kanada warnt: CVE-2026-48842 in Roundcube wird aktiv ausgenutzt. Pre-Auth SQL-Injection in virtuser_query bedroht Mails – Update auf 1.6.16/1.7.1 nötig.