\n\t\t\t\t\t\t

\n\t\t\t\t\t

\n\t\t\t

\n\t\t\t\t\t\t

\n\t\t\t\t

\n\t\t\t\t\t\t\t

Crítica <\/span> $\"Alerta$ <\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t

\n\t\t\t\t\t\t\t\t\t

CVE-2025-49113<\/a><\/strong><\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\n\t\t\t\t\t\t<\/span>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t $\"\"$ \t\t\t\t\t\t\t\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t
Introducción<\/h2>
Se ha identificado una vulnerabilidad<\/a> crítica en Roundcube Webmail que ha permanecido sin descubrir durante una década.<\/p>
El fallo reside en el archivo upload.php<\/em>, donde se permite la deserialización insegura de datos a través del parámetro oculto _from<\/em>. Esto posibilita que un atacante autenticado ejecute código arbitrario en el servidor<\/a><\/strong>, comprometiendo su integridad<\/a>.<\/p>
Afectación<\/h2>
Requisitos mínimos<\/strong>:
Basta con poseer una cuenta válida (o credenciales robadas) en Roundcube.<\/p>
Impacto<\/strong>:
Ejecución remota de código con los permisos del servidor web; desde ahí es trivial escalar privilegios o pivotar a otros sistemas.<\/p>
Alcance temporal<\/strong>:
el código vulnerable existe desde al menos 2015, por lo que instalaciones legacy de Roundcube 1.0–1.6.10 son vulnerables.<\/p>
Solución<\/h2>
Actualizar ya a 1.6.11 o 1.5.10 LTS<\/strong> y restringir el acceso administrativo. También se recomienda revisar los logs en busca de llamadas sospechosas a upload.php.<\/p>
Mas información: roundcube.net<\/a>
Fuente: Kirill Firsov<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t
My research on CVE<\/a>-2025-49113 is out. https:\/\/t.co\/kuLczCSv6V<\/a>. Happy reading! #CVE<\/a> #roundcube<\/a> #poc<\/a> @FearsOff<\/a> pic.twitter.com\/p59xHaDo7S<\/a><\/p>— Kirill Firsov (@k_firsov) June 5, 2025<\/a><\/blockquote>