Uma vulnerabilidade de injeção SQL pré-autenticação no plugin virtuser_query do Roundcube Webmail está sendo ativamente explorada. A falha, identificada como CVE-2026-48842 com pontuação CVSS de 8.1, afeta as versões 1.6.x antes da 1.6.16 e 1.7.x antes da 1.7.1.
Detalhes Técnicos
CVE-2026-48842: Injeção SQL pré-autenticação no plugin virtuser_query do Roundcube Webmail.
CVSS: 8.1 (ALTO).
Versões afetadas: Roundcube Webmail 1.6.x antes da 1.6.16 e 1.7.x antes da 1.7.1.
Causa: Bypass de escape de backslash em preg_replace().
Recomendações
Atualize para a versão 1.6.16 ou 1.7.1 do Roundcube Webmail.
Verifique logs para atividades suspeitas.
Implemente medidas de segurança adicionais para prevenir ataques de injeção SQL.
