CVE-2025-49113 – Roundcube रिमोट कोड निष्पादन (RCE) PoC

इस रिपॉजिटरी में CVE-2025-49113 के लिए एक प्रूफ-ऑफ-कॉन्सेप्ट (PoC) एक्सप्लॉइट है, जो Roundcube Webmail के 1.5.10 और 1.6.11 से पहले के संस्करणों में एक गंभीर रिमोट कोड निष्पादन भेद्यता है। यह भेद्यता upload.php स्क्रिप्ट में असुरक्षित PHP ऑब्जेक्ट डिसीरियलाइज़ेशन से उत्पन्न होती है, जिससे प्रमाणित उपयोगकर्ता सर्वर पर मनमाना कोड निष्पादित कर सकते हैं।

⚠️ अस्वीकरण: यह PoC केवल शैक्षिक उद्देश्यों के लिए है। इस एक्सप्लॉइट का उपयोग उन सिस्टमों पर न करें जिनके आप मालिक नहीं हैं या जिनके परीक्षण की आपको स्पष्ट अनुमति नहीं है। अनधिकृत उपयोग अवैध हो सकता है।

---

भेद्यता अवलोकन

• CVE आईडी: CVE-2025-49113
• CVSS v3.1 आधार स्कोर: 9.9 (गंभीर)
• प्रभावित संस्करण:
  • Roundcube 1.5.0 से 1.5.9 तक
  • Roundcube 1.6.0 से 1.6.10 तक
• भेद्यता प्रकार: असुरक्षित PHP ऑब्जेक्ट डिसीरियलाइज़ेशन के माध्यम से रिमोट कोड निष्पादन
• प्रभाव: प्रमाणित उपयोगकर्ताओं को सर्वर पर मनमाना कोड निष्पादित करने की अनुमति देता है

विस्तृत जानकारी के लिए, NVD CVE-2025-49113 प्रविष्टि देखें।

---

PoC स्क्रिप्ट: exp.py

exp.py स्क्रिप्ट इस भेद्यता के शोषण को प्रदर्शित करती है। यह भेद्य एंडपॉइंट पर एक क्राफ्टेड अनुरोध भेजती है, जिससे डिसीरियलाइज़ेशन दोष ट्रिगर होता है और सर्वर पर निर्दिष्ट कमांड निष्पादित होती है।