CVE-2026-48842
CVSS 8.1 HIGH: roundcube Webmail 1.6.x before 1.6.16 and 1.7.x before 1.7.1 has Pre-authentication SQL injection in the… EPSS 2% (77º percentile).
Vulnerabilità ed exploit · Attacco ad app web
Roundcube Webmail entra in una fase più grave: il Canadian Centre for Cyber Security avverte che CVE-2026-48842 è già sfruttata e non richiede autenticazione. Le correzioni sono in Roundcube 1.6.16 e 1.7.1. L’effetto non è più solo abuso di un account esistente, ma compromissione prima del login.
La falla è una SQL injection nel plugin virtuser_query. Il filtro basato su preg_replace() e backslash viene aggirato con input costruiti ad arte, così le virgolette finiscono nella query e arrivano al database. Da lì l’attaccante può toccare dati di casella, identità utente, messaggi, rubriche e logiche di autenticazione.
Per chi espone Roundcube su Internet, il rischio non si esaurisce con la correzione del bug. Se l’istanza è stata raggiunta, l’esposizione può riguardare dati e flussi di autenticazione che non dipendono da una password rubata.
3 fonti · 25 set
CVSS 8.1 HIGH: roundcube Webmail 1.6.x before 1.6.16 and 1.7.x before 1.7.1 has Pre-authentication SQL injection in the… EPSS 2% (77º percentile).
The Hacker News
Roundcube Pre-Auth SQL Injection Flaw Actively Exploited in the Wild
Roundcube's patched CVE-2026-48842 SQL injection is actively exploited, affecting 1.6.x before 1.6.16 and 1.7.x before 1.7.1.
originaleSecurityWeek
Roundcube Webmail Vulnerability in Attackers’ Crosshairs
Tracked as CVE-2026-48842, the exploited bug is an SQL injection that can be exploited without authentication.
originaleBleepingComputer
Hackers now exploit critical Roundcube flaw in code injection attacks
A high-severity Roundcube Webmail vulnerability patched in May is now being actively exploited in attacks, according to the Canadian Centre for Cyber Security.
originalePart of the PlainSec briefing for 2026-09-24
Every edition of this story: Roundcube passa da abuso di account a compromissione pre-login