【CVE-2025-49113】(内附EXP) 通过 PHP 对象反序列化在 Roundcube 中执行身份验证后远程代码

概述

在 Roundcube Webmail（版本 < 1.5.10 和 1.6.0–1.6.10）中发现了一个严重漏洞 ，该漏洞允许经过身份验证的用户 通过 php 对象反序列化缺陷执行远程代码执行 ，该缺陷是由 program/actions/settings/upload.php 中的 _from 参数验证不当触发的。 该缺陷的 CVSS 3.1 得分为 9.9（严重）

• CVE 编号 ：CVE-2025-49113
• 严重性 ：严重
• CVSS 评分 ：9.9 （CVSS：3.1/AV：N/AC：L/PR：L/UI：N/S：C/C：H/I：H/A：H）
• 发布时间：2025 年 6 月 1 日
• 受影响的版本 ：1.5.10、1.6.11 之前的所有版本
• 修补版本 ：1.5.10、1.6.11

形成原因

Roundcube 团队在 Roundcube 版本 1.6.11 中引入了一个补丁 。

https://github.com/roundcube/roundcubemail