Roundcube · Roundcube Webmail
CVE-2021-44026
Roundcube Webmail SQL Injection Vulnerability
Explotada en ataques
Crítica 9,8 Probabilidad de ataque: 70%
Qué es
Roundcube before 1.3.17 and 1.4.x before 1.4.12 is prone to a potential SQL injection via search or search_params.
CISA: Roundcube Webmail is vulnerable to SQL injection via search or search_params.
Qué hacer
Apply updates per vendor instructions.
Plazo para las agencias federales de EE. UU.: 13 de julio de 2023
- Añadida a la lista de CISA
- 22 de junio de 2023
- Publicada
- 19 de noviembre de 2021
- Gravedad
- Crítica 9,8 CVSS 3.1
- Probabilidad de ataques en los próximos 30 días (EPSS)
- 70% entre el 0,6% superior de todas las vulnerabilidades conocidas
- Debilidad
- CWE-89
- Más detalles
- NVD · CVE.org · CISA
Todas las referencias (7)
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/TP3Y5RXTUUOU…
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/NDVGIZMQJ5IO…
- https://www.debian.org/security/2021/dsa-5013
- https://bugs.debian.org/1000156
- https://github.com/roundcube/roundcubemail/commit/c8947ecb762d9e89c2091bda28d49002817263f1
- https://github.com/roundcube/roundcubemail/commit/ee809bde2dcaa04857a919397808a7296681dcfa
- https://lists.debian.org/debian-lts-announce/2021/12/msg00004.html
Más fallos explotados de Roundcube
| Añadido | Vulnerabilidad | Producto | Gravedad | Prob. de ataque |
|---|---|---|---|---|
| 22 jun 2023 | Webmail Remote Code Execution | Roundcube Webmail | Crítica 9,8 | 84% |
| 22 jun 2023 | Webmail Cross-Site Scripting (XSS) | Roundcube Webmail | Media 6,1 | 33% |
| 3 nov 2021 | Webmail File Disclosure | Roundcube Webmail | Alto 7,8 | 46% |
| 20 feb 2026 | Deserialization of Untrusted Data | Webmail | Crítica 9,9 | 99,7% |
| 20 feb 2026 | Cross-site Scripting | Webmail | Alto 7,2 | 27% |
| 9 jun 2025 | Cross-Site Scripting | Webmail | Crítica 9,3 | 83% |
| 24 oct 2024 | Cross-Site Scripting (XSS) | Webmail | Media 6,1 | 74% |
| 26 jun 2024 | Cross-Site Scripting (XSS) | Webmail | Media 6,3 | 77% |
Fuentes: Known Exploited Vulnerabilities (CISA, dominio público), CVE records (cve.org) y EPSS (FIRST). La probabilidad de ataque es la estimación EPSS de que alguien intente explotar el fallo en los próximos 30 días.