CVE-2025-49113 – إثبات مفهوم تنفيذ الكود عن بُعد في Roundcube (RCE)

يحتوي هذا المستودع على إثبات مفهوم (PoC) لاستغلال الثغرة CVE-2025-49113، وهي ثغرة حرجة لتنفيذ الكود عن بُعد في Roundcube Webmail في الإصدارات السابقة لـ 1.5.10 و 1.6.11. تنشأ الثغرة من إلغاء تسلسل كائنات PHP غير آمن في سكريبت upload.php، مما يسمح للمستخدمين المُوثَّقين بتنفيذ أوامر عشوائية على الخادم.

⚠️ تنويه: إثبات المفهوم هذا مخصص للأغراض التعليمية فقط. لا تستخدم هذا الاستغلال ضد أنظمة لا تملكها أو ليس لديك إذن صريح لاختبارها. قد يكون الاستخدام غير المصرح به غير قانوني.

---

نظرة عامة على الثغرة

• CVE ID: CVE-2025-49113
• نقاط الأساس CVSS v3.1: 9.9 (حرجة)
• الإصدارات المتأثرة:
  • Roundcube 1.5.0 حتى 1.5.9
  • Roundcube 1.6.0 حتى 1.6.10
• نوع الثغرة: تنفيذ كود عن بُعد عبر إلغاء تسلسل كائنات PHP غير آمن
• التأثير: يسمح للمستخدمين المُوثَّقين بتنفيذ أوامر عشوائية على الخادم

لمزيد من المعلومات التفصيلية، راجع إدخال NVD CVE-2025-49113.

---

نص إثبات المفهوم: exp.py

يُظهر نص exp.py استغلال هذه الثغرة. يرسل طلبًا مُصممًا إلى نقطة النهاية الضعيفة upload.php، مما يؤدي إلى تفعيل عيوب إلغاء التسلسل وتنفيذ أمر محدد على الخادم.

المتطلبات

pip -r install requirements.txt

الاستخدام

python3 exp.py <target_url> <username> <password> <command>

مثال

python3 exp.py http://mail.website.com admin password "id"

المراجع

• https://nvd.nist.gov/vuln/detail/CVE-2025-49113
• https://github.com/hakaioffsec/CVE-2025-49113-exploit
• https://github.com/fearsoff-org/CVE-2025-49113