La vulnerabilidad crítica del correo web de Roundcube permite a los atacantes inyectar consultas SQL

Se insta a los usuarios de Roundcube Webmail a que apliquen actualizaciones urgentes después de que los desarrolladores solucionaron múltiples fallas de seguridad. Incluyendo una vulnerabilidad crítica de inyección SQL previa a la autenticación que podría permitir a los atacantes manipular bases de datos backend sin iniciar sesión.

Esta falla permite a los actores de amenazas inyectar consultas SQL maliciosas antes de la autenticación, exponiendo potencialmente datos confidenciales de correo electrónico, credenciales de usuario y configuraciones del sistema. Vulnerabilidad de Roundcube Webmail Además de la falla de inyección SQL, Roundcube abordó varias otras vulnerabilidades de alto impacto en las versiones 1.6.16 y 1.7.1. Estos incluyen secuencias de comandos entre sitios (XSS) almacenadas y problemas de inyección de HTML/CSS que podrían permitir a los atacantes ejecutar secuencias de comandos maliciosas a través de contenido de correo electrónico manipulado o borradores de mensajes. Dada la combinación de inyección SQL previa a la autenticación y múltiples técnicas de omisión, los sistemas sin parches presentan una importante superficie de ataque.

Las organizaciones que utilizan Roundcube en alojamiento compartido, sistemas de correo electrónico empresarial o implementaciones en la nube deben priorizar la aplicación de parches y revisar los registros en busca de actividades sospechosas. La publicación La vulnerabilidad crítica del correo web de Roundcube permite a los atacantes inyectar consultas SQL apareció por primera vez en Cyber ​​Security News.

Consultar publicación original ↗