Уязвимость SQL Injection в Roundcube используется в атаках. Об этом сообщает Канадский центр кибербезопасности. Roundcube — это программное обеспечение для веб-почты с открытым исходным кодом, которое используется различными организациями по всему миру. Это программное обеспечение часто становится целью атакующих. Через уязвимость (CVE-2026-48842) неавторизованный злоумышленник может получить доступ к базе данных Roundcube. Для эксплуатации уязвимости не требуется взаимодействие с пользователями.
В конце мая проблема была исправлена в версиях 1.6.16 и 1.7.1. Теперь Канадский центр кибербезопасности сообщает, что уязвимость была использована в атаках. Подробности об этих атаках не были предоставлены. Фонд Shadowserver насчитывает около 523 000 серверов Roundcube в интернете. Однако неизвестно, сколько из них уязвимы. В начале этого года американское киберагентство CISA предупреждало о злоупотреблении уязвимостью межсайтового скриптинга (XSS) в Roundcube Webmail.