TL;DR
Roundcube, popularny webowy klient poczty hostowany we własnym zakresie, ma podatność SQL injection (CVE-2026-48842, CVSS 8.1), którą atakujący już wykorzystują. Co ważne, atak nie wymaga uwierzytelnienia. Problem leży w pluginie virtuser_query: funkcja preg_replace() inaczej traktuje backslashe niż wcześniejszy escaping, co pozwala obejść filtr i wstrzyknąć dowolny SQL.
Poprawki są w wersjach 1.6.16 i 1.7.1, wydanych jeszcze w maju. Jeśli utrzymujesz własny serwer poczty albo korzystasz z hostingu, który go oferuje, sprawdź wersję. W tekście znajdziesz też, jak wygląda skala ekspozycji w sieci i jakie dodatkowe środki ostrożności rekomenduje się poza samą aktualizacją.
Roundcube to otwartoźródłowy, samodzielnie hostowany webowy klient poczty. Stanowi wygodny sposób na dostęp do własnego serwera mailowego bez konfiguracji konta w standardowej apli...
Czytaj cały wpis u źródła// tagi
