CVE-2026-48842 — SQLi pre-auth en Roundcube virtuser_query

Comprobador en Python 3 para CVE-2026-48842 en Roundcube Webmail (plugin opcional virtuser_query).

PoCbit

Este PoC está listado en PoCbit — CVE-2026-48842 en pocbit.org.

Al ejecutar el PoC se imprime una cabecera PoCbit; las líneas JSONL incluyen pocbit / pocbit_page.

Resumen

Cuando virtuser_query está configurado ($config['virtuser_query'] en config.inc.php), los nombres de usuario o emails se sustituyen en plantillas SQL mediante preg_replace('/%u/', $dbh->escape(...), ...). PHP interpreta las barras invertidas en la cadena de reemplazo, deshaciendo el escape SQL — inyección SQL pre-auth (fix: usar str_replace).

Aviso: Actualizaciones de seguridad de Roundcube 2026-05-24

Requisitos

pip install -r requirements.txt

Uso

# Detect Roundcube + version + virtuser plugin file
python poc.py -u https://webmail.example.com --json

# Active SQLi probe (SLEEP / error heuristics on login POST)
python poc.py -u https://webmail.example.com --verify

python poc.py --list targets.example.txt --threads 20 --quiet
python poc.py --list targets.example.txt --verify --sqli-delay 5

Notas

• La explotabilidad requiere que virtuser_query esté habilitado en el servidor (no está activo por defecto en todas las instalaciones). El PoC señala la ruta PHP del plugin cuando es accesible.
• --verify envía valores _user manipulados a ?_task=login (no se necesita una contraseña válida para el intento de inyección).
• Mitigación: actualizar a ≥ 1.6.16 / 1.7.1, o eliminar virtuser_query de $config['plugins'].

FOFA / pistas de descubrimiento

body="rcmail" && body="roundcube"
title="Roundcube Webmail"

Legal

Solo pruebas autorizadas.