CVE-2020-12641 : Injection de commandes via le paramètre « _im_convert_path » dans Roundcube Webmail

Une vulnérabilité d'injection de commandes existe dans les versions de Roundcube antérieures à 1.4.4, 1.3.11 et 1.2.10.

Étant donné que le paramètre « _im_convert_path » n'effectue aucune validation ni filtrage des entrées, un attaquant ayant accès à l'installateur de Roundcube peut injecter des commandes système dans ce paramètre, qui s'exécuteront lorsqu'un utilisateur ouvrira un e-mail contenant une image « non standard ».

Divulgation du fournisseur :

La divulgation du fournisseur et le correctif pour cette vulnérabilité sont disponibles ici.

Prérequis :

Cette vulnérabilité nécessite :

• Un accès au composant installateur de Roundcube Webmail
• Qu'un utilisateur de Roundcube ouvre un e-mail contenant une image non standard

Preuve de concept :

Plus de détails et le processus d'exploitation sont disponibles dans ce PDF.