CVE-2026-48842 — SQLi pre-auth in virtuser_query di Roundcube

Checker Python 3 per CVE-2026-48842 in Roundcube Webmail (plugin opzionale virtuser_query).

PoCbit

Questa PoC è elencata su PoCbit — CVE-2026-48842 su pocbit.org.

L'esecuzione della PoC stampa un'intestazione PoCbit; le righe JSONL includono pocbit / pocbit_page.

Riepilogo

Quando virtuser_query è configurato ($config['virtuser_query'] in config.inc.php), i nomi utente o le email vengono sostituiti nei template SQL tramite preg_replace('/%u/', $dbh->escape(...), ...). PHP interpreta i backslash nella stringa di sostituzione, annullando l'escaping SQL — SQL injection pre-auth (fix: usare str_replace).

Advisory: Aggiornamenti di sicurezza Roundcube 2026-05-24

Requisiti

pip install -r requirements.txt

Utilizzo

# Rileva Roundcube + versione + file del plugin virtuser
python poc.py -u https://webmail.example.com --json

# Sonda SQLi attiva (SLEEP / euristiche di errore sul POST di login)
python poc.py -u https://webmail.example.com --verify

python poc.py --list targets.example.txt --threads 20 --quiet
python poc.py --list targets.example.txt --verify --sqli-delay 5

Note

• La sfruttabilità richiede virtuser_query abilitato sul server (non è predefinito su tutte le installazioni). La PoC segnala il percorso PHP del plugin quando raggiungibile.
• --verify invia valori _user appositamente costruiti a ?_task=login (nessuna password valida necessaria per il tentativo di injection).
• Mitigazione: aggiornare a ≥ 1.6.16 / 1.7.1, oppure rimuovere virtuser_query da $config['plugins'].

Suggerimenti FOFA / discovery

body="rcmail" && body="roundcube"
title="Roundcube Webmail"

Legale

Solo test autorizzati.