CVE-2026-48842 — Roundcube virtuser_query 認証前 SQLi

Roundcube Webmail（オプションの virtuser_query プラグイン）における CVE-2026-48842 用の Python 3 チェッカー。

PoCbit

この PoC は PoCbit に掲載されています — pocbit.org の CVE-2026-48842。

PoC を実行すると PoCbit ヘッダーが出力され、JSONL 行には pocbit / pocbit_page が含まれます。

概要

virtuser_query が設定されている場合（config.inc.php の $config['virtuser_query']）、ユーザー名またはメールアドレスが preg_replace('/%u/', $dbh->escape(...), ...) を介して SQL テンプレートに代入されます。PHP は置換文字列内のバックスラッシュを解釈し、SQL エスケープを無効化します — 認証前 SQL インジェクション（修正: str_replace を使用）。

アドバイザリ: Roundcube セキュリティアップデート 2026-05-24

要件

pip install -r requirements.txt

使用方法

# Detect Roundcube + version + virtuser plugin file
python poc.py -u https://webmail.example.com --json

# Active SQLi probe (SLEEP / error heuristics on login POST)
python poc.py -u https://webmail.example.com --verify

python poc.py --list targets.example.txt --threads 20 --quiet
python poc.py --list targets.example.txt --verify --sqli-delay 5

注意事項

• 悪用にはサーバー上で virtuser_query が有効である必要があります（すべてのインストールでデフォルト有効ではありません）。PoC は到達可能な場合にプラグインの PHP パスを報告します。
• --verify は細工した _user 値を ?_task=login に送信します（インジェクション試行に有効なパスワードは不要）。
• 緩和策: ≥ 1.6.16 / 1.7.1 にアップグレードするか、$config['plugins'] から virtuser_query を削除してください。

FOFA / 検出のヒント

body="rcmail" && body="roundcube"
title="Roundcube Webmail"

法的注意

許可されたテストにのみ使用してください。