Podatności Roundcube Webmail

Roundcube Webmail w wersji 1.1.x przed 1.1.2 umożliwia zdalnym atakującym uzyskanie poufnych informacji poprzez odczyt plików w katalogach (1) config, (2) temp lub (3) logs.

Roundcube Webmail umożliwia nieautoryzowane resetowanie haseł przez uwierzytelnionych użytkowników. Dotyczy to wersji przed 1.0.11, 1.1.x przed 1.1.9 oraz 1.2.x przed 1.2.5. Problem wynika z niewłaściwie ograniczonego wywołania exec w wirtualnych sterownikach i sterownikach sasl w wtyczce hasła.

W podatności CVE-2016-4069 w Roundcube Webmail przed wersją 1.1.5 występuje luka typu cross-site request forgery (CSRF), która umożliwia zdalnym atakującym przejęcie uwierzytelnienia użytkowników dla żądań pobierających załączniki. Może to prowadzić do odmowy usługi poprzez nadmierne zużycie dysku.

Roundcube Webmail przed wersjami 1.6.18 i 1.7.3 ma podatność w sterowniku modoboa wtyczki hasła, która może ujawnić token uwierzytelniający API Modoboa do kontrolowanego przez użytkownika hosta poprzez spreparowane dane sesji. Problem dotyczy tylko instancji używających wtyczki hasła ze sterownikiem modoboa.

Roundcube Webmail przed wersjami 1.6.18 i 1.7.3 ma podatność na wstrzyknięcie w filtrze wyszukiwania LDAP z powodu niepoprawnego escapowania podstawień %u/%fu/%d, co może prowadzić do ujawnienia informacji lub eskalacji uprawnień.

Roundcube Webmail przed wersjami 1.6.18 i 1.7.3 ma niedostateczną sanityzację CSS w wiadomościach HTML, co może prowadzić do SSRF lub ujawnienia informacji, np. gdy linki do arkuszy stylów wskazują na hosty w sieci lokalnej. Problem wynika z niekompletnych poprawek dla CVE-2026-35540, CVE-2026-48843 i CVE-2026-62643.

Roundcube Webmail przed wersjami 1.6.18 i 1.7.3 ma podatność polegającą na nieprawidłowym cytowaniu nazw reguł, co może prowadzić do obejścia ustawienia managesieve_disabled_actions poprzez spreparowaną nazwę reguły w skrypcie Sieve. Problem dotyczy tylko instancji używających wtyczki managesieve.

Roundcube Webmail przed wersjami 1.6.18 i 1.7.3 ma podatność związaną z niezamkniętym url() w atrybucie FuncIRI obrazu SVG, co może umożliwić obejście blokowania zdalnych obrazów, prowadząc do ujawnienia informacji lub eskalacji uprawnień.

W Roundcube Webmail przed wersją 1.6.18 oraz w wersjach 1.7.x przed 1.7.3, desynchronizacja liczników bajtów w wyszukiwaniu poczty i komendzie LITERAL+ może prowadzić do ujawnienia informacji lub eskalacji uprawnień poprzez wstrzyknięcie komend IMAP.

Roundcube Webmail przed wersjami 1.6.18 i 1.7.3 ma podatność związaną z nieprawidłową sanityzacją HTML/CSS atrybutu "by" animacji SVG, co może prowadzić do obejścia blokowania zdalnych obrazów, a w konsekwencji do ujawnienia informacji lub eskalacji uprawnień.

Roundcube Webmail przed wersjami 1.6.18 i 1.7.3 ma podatność na przechowywany XSS w akcji "Dodaj do książki adresowej".

W Roundcube Webmail przed wersją 1.6.18 oraz w wersjach 1.7.x przed 1.7.3, odpowiedzi z proxy CSS nie były walidowane, co może skutkować ujawnieniem informacji lub atakiem XSS (cross-site scripting) poprzez MIME sniffing.

W Roundcube Webmail przed wersją 1.6.18 oraz w wersjach 1.7.x przed 1.7.3, sterownik cmd_learn wtyczki markasjunk jest podatny na zdalne wykonanie kodu poprzez spreparowane wartości zastępcze. Problem dotyczy tylko instancji Roundcube używających wtyczki markasjunk z jej sterownikiem cmd_learn.

W Roundcube Webmail przed wersjami 1.6.17 i 1.7.x przed 1.7.2 odkryto podatność na trwały atak XSS poprzez spreparowaną wiadomość e-mail w formacie zwykłego tekstu. Atakujący może wstrzyknąć złośliwy kod JavaScript, który wykona się w sesji ofiary po otwarciu lub podglądzie wiadomości, bez konieczności kliknięcia.

W Roundcube Webmail przed wersją 1.6.17 oraz 1.7.x przed 1.7.2 występuje podatność na trwały atak XSS. Problem wynika z nieprawidłowego escapowania typu MIME załącznika na stronie ostrzegawczej walidacji załączników.

Wtyczka hasła w Roundcube Webmail przed wersjami 1.6.17 i 1.7.2 była podatna na podszywanie się pod nazwę użytkownika poprzez dane sesji, co mogło prowadzić do przejęcia konta.

W Roundcube Webmail przed wersjami 1.6.17 i 1.7.2 stwierdzono niedostateczne oczyszczanie arkuszy stylów CSS w wiadomościach HTML. Może to prowadzić do ataków SSRF lub ujawnienia informacji, gdy linki do arkuszy stylów wskazują na hosty w sieci lokalnej.

W Roundcube Webmail przed wersją 1.6.17 oraz 1.7.x przed 1.7.2 odkryto nieskończoną pętlę w dekoderze TNEF, która może prowadzić do odmowy usługi podczas otwierania wiadomości e-mail z załącznikiem TNEF.

W Roundcube Webmail przed wersją 1.6.17 oraz w wersjach 1.7.x przed 1.7.2, dekoder TNEF był podatny na atak typu odmowa usługi (DoS) poprzez spreparowany rozmiar skompresowanego RTF.

W Roundcube Webmail 1.6.x przed 1.6.16 i 1.7.x przed 1.7.1 niesanitowane pole tematu w przywracanej wersji roboczej może prowadzić do trwałego XSS/HTML/CSS na współdzielonych skrzynkach pocztowych.

Roundcube Webmail w wersjach 1.6.x przed 1.6.16 oraz 1.7.x przed 1.7 ma niewystarczającą sanityzację HTML, co umożliwia wstrzyknięcie CSS przez dokument SVG zawierający element animate z atrybutem attributeName.

Roundcube Webmail w wersjach 1.6.x przed 1.6.16 oraz 1.7.x przed 1.7.1 umożliwia przedautoryzacyjne usunięcie dowolnego pliku poprzez zatrucie sesji Redis/Memcache.

Podatność w Roundcube Webmail w wersjach 1.6.x między 1.6.14 a 1.6.16 oraz 1.7.x przed 1.7.1. Blokowanie zdalnych obrazów nie działało dla URL-i wskazujących na lokalne/prywatne cele, co może prowadzić do ujawnienia informacji lub eskalacji uprawnień przez wiadomość HTML.

Roundcube Webmail w wersjach 1.6.x przed 1.6.16 oraz 1.7.x przed 1.7.1 zawiera niebezpieczną logikę ewaluacji kodu w opcji autovalues LDAP, która może prowadzić do iniekcji kodu. Wsparcie dla ewaluacji kodu zostało usunięte w wersjach 1.6.16 i 1.7.1.

Roundcube Webmail w wersjach 1.6.x od 1.6.14 do 1.6.16 oraz 1.7.x przed 1.7.1 ma niedostateczne oczyszczanie CSS w wiadomościach HTML, co może prowadzić do SSRF lub ujawnienia informacji, jeśli linki do arkuszy stylów wskazują na lokalne hosty sieciowe. Problem wynika z niekompletnej poprawki dla CVE-2026-35540.

Roundcube Webmail w wersjach 1.6.x przed 1.6.16 oraz 1.7.x przed 1.7.1 zawiera podatność na wstrzyknięcie SQL przed uwierzytelnieniem we wtyczce virtuser_query. Podatność wynika z obejścia escapowania backslash w funkcji preg_replace().

W Roundcube Webmail przed wersjami 1.5.15 i 1.6.15 funkcja blokowania zdalnych obrazów może zostać ominięta przez treść SVG w wiadomości e-mail. Ominięcie to może prowadzić do ujawnienia informacji lub obejścia kontroli dostępu. Dotyczy to elementu animate z atrybutem attributeName=fill/filter/stroke.

W Roundcube Webmail przed wersjami 1.5.14 i 1.6.14 stwierdzono niedostateczne oczyszczanie CSS w wiadomościach HTML. Umożliwia to ominięcie zabezpieczeń pozycjonowania stałego przez użycie dyrektywy !important.

W Roundcube Webmail przed wersjami 1.5.14 i 1.6.14 funkcja blokowania zdalnych obrazów może zostać ominięta przez treść SVG z atrybutami animate w wiadomości e-mail. Może to prowadzić do ujawnienia informacji lub obejścia kontroli dostępu.

W Roundcube Webmail przed wersjami 1.5.14 i 1.6.14 funkcja blokowania zdalnych obrazów może zostać ominięta przez spreparowany atrybut tła elementu BODY w wiadomości e-mail. Może to prowadzić do ujawnienia informacji lub obejścia kontroli dostępu.

Roundcube Webmail przed wersjami 1.5.14 i 1.6.14 ma nieprawidłowe porównanie haseł we wtyczce password, co prowadzi do pomylenia typów i umożliwia zmianę hasła bez znajomości starego hasła.

W Roundcube Webmail od wersji 1.6.0 do 1.6.14, niewystarczające oczyszczanie CSS w wiadomościach HTML może prowadzić do SSRF lub ujawnienia informacji, np. gdy linki do arkuszy stylów wskazują na lokalne hosty sieciowe.

W Roundcube Webmail przed wersjami 1.5.14 i 1.6.14 stwierdzono podatność XSS z powodu niedostatecznego oczyszczania załączników HTML w trybie podglądu. Ofiara musi wyświetlić podgląd załącznika text/html.

W Roundcube Webmail przed wersjami 1.5.14 i 1.6.14 odkryto problem z niesanityzowanymi argumentami polecenia IMAP SEARCH. Może to prowadzić do wstrzyknięcia IMAP lub obejścia CSRF podczas wyszukiwania wiadomości.

Roundcube Webmail przed wersjami 1.5.14 i 1.6.14 ma podatność na niebezpieczną deserializację w handlerze sesji redis/memcache, co może prowadzić do zapisu dowolnych plików przez nieuwierzytelnionych atakujących.