CVE-2025-49113

CRITICAL9.9

Roundcube Webmail before 1.5.10 and 1.6.x before 1.6.11 allows remote code execution by authenticated users because the _from parameter in a URL is not validated in program/actions/settings/upload.php, leading to PHP Object Deserialization.

Score CVSS9.9 / 10CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Type de faiblesse (CWE)CWE-502, CWE-502

Éditeursdebian, roundcube

Produits concernés

Éditeurs	Prodotto	Versioni
roundcube	webmail	< 1.5.10
debian	debian linux	11.0

Articles liés

Lazarus sfrutta uno zero-day di Windows in una campagna di false offerte di lavoro

APT

Lazarus exploite une faille zero-day de Windows dans une campagne de fausses offres d’emploi

Lazarus utilise une faille zero-day de Windows dans une arnaque aux emplois pour cibler défense et aérospatial. CVE-2026-68820 corrigé.

12 août 20263 min de lectureLire

This product uses the NVD API but is not endorsed or certified by the NVD.

Base de données CVE