CVE-2025-49113

Roundcube Webmail no valida el parámetro _from en program/actions/settings/upload.php, y ese valor no validado fluye hacia la deserialización de objetos PHP. Un usuario autenticado, cualquier cuenta de buzón, puede fabricar el parámetro para instanciar objetos PHP arbitrarios y desencadenar una cadena de gadgets que ejecuta código en el servidor. El listón es bajo: credenciales válidas más una solicitud, y este es un error de una década de antigüedad en una base de código muy ampliamente implementada.

Roundcube es uno de los front-ends de webmail de código abierto más comunes, incluido en paneles de hosting como cPanel y Plesk y ejecutado por innumerables proveedores, por lo que una sola cuenta, obtenida por phishing, reutilizada o perteneciente a un usuario de bajos privilegios, se convierte en ejecución de código del lado del servidor en un host de correo que alberga la correspondencia de todos. Un exploit funcional se vendió en mercados criminales y la explotación siguió en cuestión de semanas tras la corrección; está en la lista KEV de CISA. Actualice a la 1.5.10 o 1.6.11 con prontitud. Dado que basta con cualquier usuario autenticado, imponga una autenticación fuerte, vigile escrituras sospechosas bajo el árbol de Roundcube y nuevos archivos PHP, y trate la exposición de credenciales como parte del modelo de amenazas en lugar de asumir que solo los externos son el riesgo.