基本信息
漏洞编号: CVE-2025-49113
危险等级: 高危
影响版本: Roundcube Webmail 1.5.0 至 1.5.9，1.6.0 至 1.6.10
受影响组件: program/actions/settings/upload.php
验证状态: 已验证
修复状态: 官方已发布修复版本
漏洞详情
Roundcube Webmail 在处理 program/actions/settings/upload.php 文件时，未对 _from 参数进行充分校验，导致经过身份认证的攻击者可利用该参数触发 PHP 反序列化漏洞，进而实现远程代码执行。
影响范围
影响版本
Roundcube Webmail 1.5.0 - 1.5.9，1.6.0 - 1.6.10
受影响的产品
- Roundcube Webmail 1.5.x 所有版本（低于1.5.10）
- Roundcube Webmail 1.6.x 所有版本（低于1.6.11）
验证方法
- 登录受影响的 Roundcube Webmail 实例。
- 通过拦截工具（如Burp Suite）修改请求，向
/?_task=settings&_action=upload提交恶意的_from参数，监控是否出现异常行为或远程代码执行迹象。
修复方案
方案一：版本升级(推荐)
请立即升级至安全版本：
Roundcube Webmail 1.5.10 或更高版本
Roundcube Webmail 1.6.11 或更高版本
方案二：临时修复
如无法立即升级，可临时在 program/actions/settings/upload.php 中增加 _from 参数的白名单校验，拒绝非预期输入。但此措施仅为临时缓解，推荐尽快升级到官方修复版本。