CVE-2025-49113 – Roundcube Remote Code Execution (RCE) PoC

Dieses Repository enthält einen Proof-of-Concept (PoC)-Exploit für CVE-2025-49113, eine kritische Remote-Codeausführungsschwachstelle in Roundcube Webmail vor den Versionen 1.5.10 und 1.6.11. Die Schwachstelle resultiert aus unsicherer PHP-Objektdeserialisierung im Skript upload.php, die es authentifizierten Benutzern ermöglicht, beliebigen Code auf dem Server auszuführen.

⚠️ Hinweis: Dieser PoC dient ausschließlich zu Bildungszwecken. Verwenden Sie diesen Exploit nicht gegen Systeme, die Ihnen nicht gehören oder für die Sie keine explizite Erlaubnis zum Testen haben. Eine unbefugte Nutzung kann illegal sein.

Schwachstellenübersicht

• CVE-ID: CVE-2025-49113
• CVSS v3.1 Basisbewertung: 9.9 (Kritisch)
• Betroffene Versionen:
  • Roundcube 1.5.0 bis 1.5.9
  • Roundcube 1.6.0 bis 1.6.10
• Schwachstellentyp: Remote-Codeausführung durch unsichere PHP-Objektdeserialisierung
• Auswirkung: Ermöglicht authentifizierten Benutzern, beliebigen Code auf dem Server auszuführen

Ausführliche Informationen finden Sie im NVD-Eintrag CVE-2025-49113.

PoC-Skript: exp.py

Das Skript exp.py demonstriert die Ausnutzung dieser Schwachstelle. Es sendet eine manipulierte Anfrage an den verwundbaren Endpunkt upload.php, löst den Deserialisierungsfehler aus und führt einen angegebenen Befehl auf dem Server aus.

Anforderungen

pip -r install requirements.txt

Verwendung

python3 exp.py <target_url> <username> <password> <command>

Beispiel

python3 exp.py http://mail.website.com admin password "id"

Referenzen

• https://nvd.nist.gov/vuln/detail/CVE-2025-49113
• https://github.com/hakaioffsec/CVE-2025-49113-exploit
• https://github.com/fearsoff-org/CVE-2025-49113