CVE-2026-48842 — Injection SQL pre-auth dans Roundcube virtuser_query

Vérificateur Python 3 pour CVE-2026-48842 dans Roundcube Webmail (plugin optionnel virtuser_query).

PoCbit

Ce PoC est référencé sur PoCbit — CVE-2026-48842 sur pocbit.org.

L'exécution du PoC affiche un en-tête PoCbit ; les lignes JSONL incluent pocbit / pocbit_page.

Résumé

Lorsque virtuser_query est configuré ($config['virtuser_query'] dans config.inc.php), les noms d'utilisateur ou emails sont substitués dans les modèles SQL via preg_replace('/%u/', $dbh->escape(...), ...). PHP interprète les barres obliques inverses dans la chaîne de remplacement, annulant l'échappement SQL — injection SQL pre-auth (correctif : utiliser str_replace).

Avis : Mises à jour de sécurité Roundcube 2026-05-24

Prérequis

pip install -r requirements.txt

Utilisation

# Detect Roundcube + version + virtuser plugin file
python poc.py -u https://webmail.example.com --json

# Active SQLi probe (SLEEP / error heuristics on login POST)
python poc.py -u https://webmail.example.com --verify

python poc.py --list targets.example.txt --threads 20 --quiet
python poc.py --list targets.example.txt --verify --sqli-delay 5

Notes

• L'exploitabilité nécessite que virtuser_query soit activé sur le serveur (pas activé par défaut sur toutes les installations). Le PoC signale le chemin PHP du plugin lorsqu'il est accessible.
• --verify envoie des valeurs _user forgées à ?_task=login (aucun mot de passe valide nécessaire pour la tentative d'injection).
• Atténuation : mettre à niveau vers ≥ 1.6.16 / 1.7.1, ou retirer virtuser_query de $config['plugins'].

FOFA / indices de découverte

body="rcmail" && body="roundcube"
title="Roundcube Webmail"

Légal

Tests autorisés uniquement.