Skip to content
OpenAdvisories
Critical 1 exploited CVE NCSC-2025-0181 1 CVE

Kwetsbaarheid verholpen in Roundcube Webmail

Published Jun 2, 2025 · Updated Jun 5, 2025 · Revision 3 · nl

Vendor: Roundcube Product: Webmail

Summary

Roundcube heeft een kwetsbaarheid verholpen in Roundcube Webmail (specifiek versies vóór 1.5.10 en 1.6.x vóór 1.6.11).

Details

Interpretaties
Een geauthenticeerde kwaadwillende kan de kwetsbaarheid misbruiken voor het uitvoeren van willekeurige code. Hiertoe dient de kwaadwillende een malafide HTTP-request naar de Roundcube-applicatie te versturen. De kwetsbaarheid wordt veroorzaakt door inadequate validatie van userinput in de _from-parameter.

Het NCSC heeft signalen ontvangen dat exploitcode in omloop is waarmee de kwetsbaarheid kan worden misbruikt. Dit verhoogt het risico op misbruik aanzienlijk.

Oplossingen
Roundcube heeft updates uitgebracht om de kwetsbaarheid te verhelpen. Het NCSC adviseert organisaties met klem om de door Roundcube beschikbaar gestelde beveiligingsupdates te installeren. Zie bijgevoegde referenties voor meer informatie.

Vulnerabilities 1

  • Critical 9.9
    CVE-2025-49113 Exploited Public exploit Scanner template EPSS 100%

    Roundcube Webmail Vulnerable to Authenticated RCE via PHP Object Deserialization

    Roundcube Webmail before 1.5.10 and 1.6.x before 1.6.11 allows remote code execution by authenticated users because the _from parameter in a URL is not validated in program/actions/settings/upload.php, leading to PHP Object Deserialization.

    Roundcube Webmail roundcube roundcube Debian Ubuntu Packagist
    KEV Feb 20, 2026

Revision history

  1. #1.0.2

    In het beveiligingsadvies stond dat de kwetsbaarheid kan worden misbruikt door een malafide e-mail naar het slachtoffer te sturen. Dit is echter onjuist. De kwetsbaarheid kan, voor zover bekend, niet via een malafide e-mail worden misbruikt. Het beveiligingsadvies is hierop bijgewerkt en dit deel is gecorrigeerd.

  2. #1.0.1

    Het NCSC heeft signalen ontvangen dat exploitcode in omloop is waarmee de kwetsbaarheid kan worden misbruikt. De inschaling van dit beveiligingsadvies is daarom veranderd naar HIGH/HIGH. Het NCSC adviseert organisaties met klem om de door Roundcube beschikbaar gestelde beveiligingsupdates te installeren.

  3. #1.0.0

    Initiele versie

References