CVE-2025-49113
Roundcube Webmail vor 1.5.10 und 1.6.x vor 1.6.11 ermöglicht authentifizierten Benutzern Remote Code Execution, da der _from-Parameter in einer URL in program/actions/settings/upload.php nicht validiert wird, was zu PHP Object Deserialization führt.
Aktiv ausgenutzt
- Seit dem 20. Feb. 2026 im CISA-Katalog ausgenutzter Schwachstellen
- US-Bundesbehörden müssen sie bis zum 13. März 2026 beheben (BOD 22-01)
- Erster Angriff 2 Tage nach der Veröffentlichung beobachtet
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Quelle: CISA KEV · 8. Sept. 2026 3. Sept. 2026 21. Aug. 2026 11. Aug. 2026 7. Aug. 2026 30. Juli 2026
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:HBetroffene Produkte
| Hersteller | Produkt | Versionen |
|---|---|---|
| roundcube | webmail | < 1.5.10 |
| debian | debian linux | 11.0 |
Verwandte Artikel
APTLazarus nutzt Windows-Zero-Day in Kampagne mit gefälschten Jobangeboten
Lazarus nutzt Windows-Zero-Day für gefälschte Jobangebote, um Verteidigung und Luftfahrt zu kompromittieren. Microsoft patchte CVE-2026-68820.
SchwachstellenRoundcube-Server werden über SQL-Injection vor der Anmeldung aktiv angegriffen
CVE-2026-48842 in Roundcube wird aktiv ausgenutzt: SQL-Injection vor Login über virtuser_query. Update auf 1.6.16 oder 1.7.1 und Schutzmaßnahmen.
SchwachstellenAktive Angriffe auf Roundcube machen SQL-Injection vor der Anmeldung zur höchsten Patch-Priorität
Kanada warnt: CVE-2026-48842 in Roundcube wird aktiv ausgenutzt. Pre-Auth SQL-Injection in virtuser_query bedroht Mails – Update auf 1.6.16/1.7.1 nötig.
This product uses the NVD API but is not endorsed or certified by the NVD.
Die technische Beschreibung ist unsere Übersetzung des englischen NVD-Originaltexts.