CVE-2026-48842 — Roundcube virtuser_query Pre-Auth-SQLi

Python-3-Prüfwerkzeug für CVE-2026-48842 in Roundcube Webmail (optionales virtuser_query-Plugin).

PoCbit

Dieser PoC ist auf PoCbit gelistet — CVE-2026-48842 auf pocbit.org.

Beim Ausführen des PoC wird ein PoCbit-Header ausgegeben; JSONL-Zeilen enthalten pocbit / pocbit_page.

Zusammenfassung

Wenn virtuser_query konfiguriert ist ($config['virtuser_query'] in config.inc.php), werden Benutzernamen oder E-Mails über preg_replace('/%u/', $dbh->escape(...), ...) in SQL-Templates eingesetzt. PHP interpretiert Backslashes im Replacement-String und hebt dadurch das SQL-Escaping auf — Pre-Auth-SQL-Injection (Fix: str_replace verwenden).

Advisory: Roundcube-Sicherheitsupdates 2026-05-24

Voraussetzungen

pip install -r requirements.txt

Verwendung

# Detect Roundcube + version + virtuser plugin file
python poc.py -u https://webmail.example.com --json

# Active SQLi probe (SLEEP / error heuristics on login POST)
python poc.py -u https://webmail.example.com --verify

python poc.py --list targets.example.txt --threads 20 --quiet
python poc.py --list targets.example.txt --verify --sqli-delay 5

Hinweise

• Ausnutzbarkeit erfordert aktiviertes virtuser_query auf dem Server (nicht bei allen Installationen standardmäßig aktiv). Der PoC markiert den PHP-Pfad des Plugins, wenn er erreichbar ist.
• --verify sendet präparierte _user-Werte an ?_task=login (kein gültiges Passwort für den Injektionsversuch erforderlich).
• Gegenmaßnahme: Upgrade auf ≥ 1.6.16 / 1.7.1 oder virtuser_query aus $config['plugins'] entfernen.

FOFA / Discovery-Hinweise

body="rcmail" && body="roundcube"
title="Roundcube Webmail"

Rechtliches

Nur autorisiertes Testen.