CVE-2026-48846
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
W Roundcube Webmail w wersjach 1.6.x przed 1.6.16 oraz 1.7.x przed 1.7.1 funkcja blokowania zdalnych obrazów może zostać ominięta poprzez spreparowaną wartość CSS var() w wiadomości e-mail, co może prowadzić do ujawnienia informacji lub ominięcia kontroli dostępu.
Ocena ryzyka
Atakujący może ominąć blokowanie zdalnych obrazów, co może umożliwić śledzenie otwarcia wiadomości (web beacon) lub wyciek danych poprzez żądania do zewnętrznych serwerów.
Rekomendacja
Zaktualizuj Roundcube do wersji 1.6.16, 1.7.1 lub nowszej. Rozważ dodatkowe zabezpieczenia, takie jak filtrowanie treści HTML.
Inne podatności w Roundcube
Zobacz wszystkie- CVE-2016-9920Wysokie
W wersjach Roundcube przed 1.1.7 oraz 1.2.x przed 1.2.3, brak odpowiedniej konfiguracji serwera SMTP i włączenie programu sendmail pozwala na nieprawidłowe ograniczenie użycia niestandardowych adresów envelope-from w linii poleceń sendmail. To umożliwia zdalnym uwierzytelnionym użytkownikom wykonanie dowolnego kodu poprzez zmodyfikowane żądanie HTTP, które wysyła spreparowaną wiadomość e-mail.
- CVE-2015-8770Wysokie
Podatność typu directory traversal w funkcji set_skin w pliku rcmail_output_html.php w Roundcube przed wersją 1.0.8 oraz 1.1.x przed wersją 1.1.4 umożliwia zdalnym uwierzytelnionym użytkownikom z określonymi uprawnieniami odczyt dowolnych plików lub potencjalne wykonanie dowolnego kodu poprzez wykorzystanie parametru _skin z sekwencją .. (kropka kropka) w index.php.
Oryginalny opis (angielski, źródło NVD)
In Roundcube Webmail 1.6.x before 1.6.16 and 1.7.x before 1.7.1, the remote image blocking feature can be bypassed via a crafted CSS var() value in an e-mail message, which may lead to information disclosure or access-control bypass.