一、漏洞详情

Roundcube Webmail是一款开源的基于Web的电子邮件客户端。

近期，发现Roundcube Webmail存在反序列化漏洞，由于program/actions/settings/upload.php文件中未对URL中的_from参数进行验证，导致PHP对象反序列化漏洞，从而允许经过身份验证的用户执行远程代码。

建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻击。

二、影响范围

Roundcube Webmail <1.5.10

1.6.0<= Roundcube Webmail <1.6.11

三、修复建议

官方已发布修复方案，受影响的用户建议及时更新至对应安全版本。

安全版本：

Roundcube Webmail >= 1.5.10

Roundcube Webmail >=1.6.11