CVE-2026-48845
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Podatność w Roundcube Webmail w wersjach 1.6.x między 1.6.14 a 1.6.16 oraz 1.7.x przed 1.7.1. Blokowanie zdalnych obrazów nie działało dla URL-i wskazujących na lokalne/prywatne cele, co może prowadzić do ujawnienia informacji lub eskalacji uprawnień przez wiadomość HTML.
Ocena ryzyka
Ryzyko ujawnienia poufnych informacji lub eskalacji uprawnień poprzez osadzone obrazy w wiadomościach e-mail.
Rekomendacja
Zaktualizuj Roundcube Webmail do wersji 1.6.17 lub 1.7.1. Wdróż dodatkowe filtry treści dla wiadomości HTML.
Inne podatności w Roundcube Webmail
Zobacz wszystkie- CVE-2026-75010Średnie
Roundcube Webmail przed wersjami 1.6.18 i 1.7.3 ma podatność w sterowniku modoboa wtyczki hasła, która może ujawnić token uwierzytelniający API Modoboa do kontrolowanego przez użytkownika hosta poprzez spreparowane dane sesji. Problem dotyczy tylko instancji używających wtyczki hasła ze sterownikiem modoboa.
- CVE-2026-75006Średnie
Roundcube Webmail przed wersjami 1.6.18 i 1.7.3 ma niedostateczną sanityzację CSS w wiadomościach HTML, co może prowadzić do SSRF lub ujawnienia informacji, np. gdy linki do arkuszy stylów wskazują na hosty w sieci lokalnej. Problem wynika z niekompletnych poprawek dla CVE-2026-35540, CVE-2026-48843 i CVE-2026-62643.
- CVE-2026-75004Średnie
Roundcube Webmail przed wersjami 1.6.18 i 1.7.3 ma podatność polegającą na nieprawidłowym cytowaniu nazw reguł, co może prowadzić do obejścia ustawienia managesieve_disabled_actions poprzez spreparowaną nazwę reguły w skrypcie Sieve. Problem dotyczy tylko instancji używających wtyczki managesieve.
- CVE-2026-74999Średnie
Roundcube Webmail przed wersjami 1.6.18 i 1.7.3 ma podatność na przechowywany XSS w akcji "Dodaj do książki adresowej".
- CVE-2026-74998Wysokie
W Roundcube Webmail przed wersją 1.6.18 oraz w wersjach 1.7.x przed 1.7.3, odpowiedzi z proxy CSS nie były walidowane, co może skutkować ujawnieniem informacji lub atakiem XSS (cross-site scripting) poprzez MIME sniffing.
- CVE-2026-74997Wysokie
W Roundcube Webmail przed wersją 1.6.18 oraz w wersjach 1.7.x przed 1.7.3, sterownik cmd_learn wtyczki markasjunk jest podatny na zdalne wykonanie kodu poprzez spreparowane wartości zastępcze. Problem dotyczy tylko instancji Roundcube używających wtyczki markasjunk z jej sterownikiem cmd_learn.
- CVE-2015-5383Wysokie
Roundcube Webmail w wersji 1.1.x przed 1.1.2 umożliwia zdalnym atakującym uzyskanie poufnych informacji poprzez odczyt plików w katalogach (1) config, (2) temp lub (3) logs.
- CVE-2017-8114Wysokie
Roundcube Webmail umożliwia nieautoryzowane resetowanie haseł przez uwierzytelnionych użytkowników. Dotyczy to wersji przed 1.0.11, 1.1.x przed 1.1.9 oraz 1.2.x przed 1.2.5. Problem wynika z niewłaściwie ograniczonego wywołania exec w wirtualnych sterownikach i sterownikach sasl w wtyczce hasła.
- CVE-2016-4069Wysokie
W podatności CVE-2016-4069 w Roundcube Webmail przed wersją 1.1.5 występuje luka typu cross-site request forgery (CSRF), która umożliwia zdalnym atakującym przejęcie uwierzytelnienia użytkowników dla żądań pobierających załączniki. Może to prowadzić do odmowy usługi poprzez nadmierne zużycie dysku.
- CVE-2026-75007Średnie
Roundcube Webmail przed wersjami 1.6.18 i 1.7.3 ma podatność na wstrzyknięcie w filtrze wyszukiwania LDAP z powodu niepoprawnego escapowania podstawień %u/%fu/%d, co może prowadzić do ujawnienia informacji lub eskalacji uprawnień.
Oryginalny opis (angielski, źródło NVD)
In Roundcube Webmail 1.6.x between 1.6.14 and 1.6.16 and 1.7.x before 1.7.1, remote image blocking was not honored for URLs pointing to local/private destinations, which may lead to information disclosure or privilege escalation via a text/html email message.