CVE-2020-12641: 通过Roundcube Webmail中的“_im_convert_path”参数进行命令注入

Roundcube 1.4.4、1.3.11和1.2.10之前的版本存在一个命令注入漏洞。

由于"_im_convert_path"没有执行清理/输入过滤，能够访问Roundcube安装程序的攻击者可以在此参数中注入系统命令，当任何用户打开包含"非标准"图像的电子邮件时，这些命令将会执行。

供应商披露：

此漏洞的供应商披露和修复可以在此处找到。

要求：

此漏洞需要：

• 访问Roundcube Webmail安装程序组件
• 等待Roundcube用户打开包含非标准图像的电子邮件

概念验证：

更多细节和利用过程可以在此PDF中找到。