CVE-2026-75010
ŚrednieCVSS 6.4Streszczenie
Roundcube Webmail przed wersjami 1.6.18 i 1.7.3 ma podatność w sterowniku modoboa wtyczki hasła, która może ujawnić token uwierzytelniający API Modoboa do kontrolowanego przez użytkownika hosta poprzez spreparowane dane sesji. Problem dotyczy tylko instancji używających wtyczki hasła ze sterownikiem modoboa.
Ocena ryzyka
Ryzyko przechwycenia tokenu API Modoboa, co może prowadzić do nieautoryzowanego dostępu do usług pocztowych i naruszenia bezpieczeństwa kont.
Rekomendacja
Zaleca się aktualizację Roundcube Webmail do wersji 1.6.18 lub 1.7.3 oraz sprawdzenie konfiguracji wtyczki hasła.
Oryginalny opis (angielski, źródło NVD)
In Roundcube Webmail before 1.6.18 and 1.7.x before 1.7.3, the modoboa driver of the password plugin could leak a Modoboa API authentication token to a user-controlled host via crafted session data. This issue only affects Roundcube instances using the password plugin with its modoboa driver.