CVE-2026-35545
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
W Roundcube Webmail przed wersjami 1.5.15 i 1.6.15 funkcja blokowania zdalnych obrazów może zostać ominięta przez treść SVG w wiadomości e-mail. Ominięcie to może prowadzić do ujawnienia informacji lub obejścia kontroli dostępu. Dotyczy to elementu animate z atrybutem attributeName=fill/filter/stroke.
Ocena ryzyka
Atakujący może wysłać spreparowaną wiadomość e-mail, która ominie blokowanie zdalnych obrazów, potencjalnie ujawniając poufne informacje lub umożliwiając dalsze ataki.
Rekomendacja
Zaleca się aktualizację Roundcube Webmail do wersji 1.5.15, 1.6.15 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in Roundcube Webmail before 1.5.15 and 1.6.15. The remote image blocking feature can be bypassed via SVG content in an e-mail message. This may lead to information disclosure or access-control bypass. This involves the animate element with attributeName=fill/filter/stroke.