Roundcube Webmail 漏洞列表

Roundcube Webmail 在 1.5.10 之前和 1.6.x 在 1.6.11 之前的版本中，允许经过身份验证的用户远程执行代码，因为 URL 中的_from 参数在 program/actions/settings/upload.php 中没有经过验证，导致 PHP 对象反序列化。 fofa: "Roundcube Webmail" && title=="Roundcube Webmail :: 欢迎使用 Roundcube Webmail"

Roundcube webmail was detected. shodan-query: http.component:"RoundCube"

Roundcube Webmail before 1.4.4 contains a command injection caused by shell metacharacters in configuration settings for im_convert_path or im_identify_path, letting attackers execute arbitrary code, exploit requires attacker to control configuration settings.

Roundcube Webmail before 1.5.10 and 1.6.x before 1.6.11 allows remote code execution by authenticated users because the _from parameter in a URL is not validated in program/actions/settings/upload.php, leading to PHP Object Deserialization.

Roundcube Webmail 1.5.10之前版本和 1.6.11之前版本存在安全漏洞，该漏洞源于未验证_from参数，可能导致PHP对象反序列化攻击。

Roundcube Webmail 中存在跨站脚本漏洞。此漏洞是由于rcube_washtml.php对传入的邮件信息验证不正确所导致的。

Roundcube Webmail 中存在跨站脚本漏洞。此漏洞是由于rcube_washtml.php对传入的邮件信息验证不正确所导致的。

Roundcube Webmail 中存在SQL注入漏洞。此漏洞是由于对于_sort参数缺乏校验导致的。

Roundcube Webmail存在跨站脚本漏洞。此漏洞是由于rcube_string_replacer.php对于接收到的消息缺乏校验导致的。