KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2025-49113 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
Roundcube Webmail 是一个邮件服务器。CVE-2025-49113 中，在1.5.10 之前和 低于1.6.11的1.6.x版本中，由于在program/actions/settings/upload.php文件中没有对 _from参数进行验证，导致允许经过身份验证的用户触发反序列化，执行远程代码
安全版本
Roundcube Webmail 1.5.10
Roundcube Webmail 1.6.11
影响范围
应用：roundcube webmail（影响面 Up to (excluding) 1.5.10）
应用：roundcube webmail（影响面 Up to (excluding) 1.6.11）
系统：debian debian_linux（版本 11.0）
系统：fedora_41 roundcubemail（影响面 Up to (excluding) 1.6.11-1.fc41）
系统：fedora_42 roundcubemail（影响面 Up to (excluding) 1.6.11-1.fc42）
系统：fedora_EPEL_9 roundcubemail（影响面 Up to (excluding) 1.5.10-1.el9）
系统：ubuntu_24.04 roundcube（影响面 Up to (excluding) 1.6.6+dfsg-2ubuntu0.1）
解决方案
升级 Roundcube Webmail 至安全版本以上。
参考信息
http://www.openwall.com/lists/oss-security/2025/06/02/3
https://fearsoff.org/research/roundcube
https://github.com/roundcube/roundcubemail/commit/0376f69e958a8fef7f6f09e352c541b4e7729c4d
https://github.com/roundcube/roundcubemail/commit/7408f31379666124a39f9cb1018f62bc5e2dc695
https://github.com/roundcube/roundcubemail/commit/c50a07d88ca38f018a0f4a0b008e9a1deb32637e
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。