CVE-2026-114719
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Roundcube Webmail w wersjach przed 1.6.20 oraz 1.7.x przed 1.7.5 jest podatny na obejście walidacji CSRF w akcji oznaczania jako spam w pluginie markasjunk. Plugin odczytywał parametr _uid z danych POST, ale przekazywał go do rcmail::get_uids() bez ograniczenia trybu wejścia, więc wartości ponownie odczytane w tej funkcji mogły pochodzić z ciągu zapytania, a akcja została wykonana bez ważnego tokenu CSRF. Poprawka przekazuje jawnie rcube_utils::INPUT_POST.
Ocena ryzyka
Atakujący może nakłonić uwierzytelnionego użytkownika do wykonania niechcianej akcji (oznaczenia wiadomości jako spam) bez ważnego tokenu CSRF. Może to prowadzić do utraty ważnych wiadomości lub manipulacji skrzynką.
Rekomendacja
Zaktualizuj Roundcube Webmail do wersji 1.6.20 lub 1.7.5 (lub nowszej). Do czasu aktualizacji rozważ wyłączenie pluginu markasjunk.
Inne podatności w Roundcube Webmail
Zobacz wszystkie- CVE-2015-5383Wysokie
Roundcube Webmail w wersji 1.1.x przed 1.1.2 umożliwia zdalnym atakującym uzyskanie poufnych informacji poprzez odczyt plików w katalogach (1) config, (2) temp lub (3) logs.
- CVE-2017-8114Wysokie
Roundcube Webmail umożliwia nieautoryzowane resetowanie haseł przez uwierzytelnionych użytkowników. Dotyczy to wersji przed 1.0.11, 1.1.x przed 1.1.9 oraz 1.2.x przed 1.2.5. Problem wynika z niewłaściwie ograniczonego wywołania exec w wirtualnych sterownikach i sterownikach sasl w wtyczce hasła.
- CVE-2016-4069Wysokie
W podatności CVE-2016-4069 w Roundcube Webmail przed wersją 1.1.5 występuje luka typu cross-site request forgery (CSRF), która umożliwia zdalnym atakującym przejęcie uwierzytelnienia użytkowników dla żądań pobierających załączniki. Może to prowadzić do odmowy usługi poprzez nadmierne zużycie dysku.
- CVE-2024-37383ŚrednieAktywnie exploitowane
Roundcube Webmail przed wersją 1.5.7 oraz 1.6.x przed 1.6.7 pozwala na ataki XSS poprzez atrybuty animacji SVG. Może to prowadzić do wykonania złośliwego kodu JavaScript w przeglądarce ofiary.
- CVE-2020-35730ŚrednieAktywnie exploitowane
W Roundcube Webmail przed wersjami 1.2.13, 1.3.x przed 1.3.16 i 1.4.x przed 1.4.10 odkryto problem XSS. Atakujący może wysłać wiadomość e-mail w formacie plain text z JavaScriptem w elemencie referencji linku, który jest nieprawidłowo obsługiwany przez linkref_addindex w rcube_string_replacer.php.
- CVE-2020-13965ŚrednieAktywnie exploitowane
W Roundcube Webmail przed 1.3.12 i 1.4.x przed 1.4.5 występuje luka XSS poprzez złośliwy załącznik XML, ponieważ text/xml jest jednym z dozwolonych typów dla podglądu.
- CVE-2020-12641KrytyczneAktywnie exploitowane
Plik rcube_image.php w Roundcube Webmail przed wersją 1.4.4 pozwala atakującym na wykonanie dowolnego kodu poprzez metaznaki powłoki w ustawieniach konfiguracyjnych im_convert_path lub im_identify_path.
- CVE-2026-114732Średnie
Roundcube Webmail przed 1.6.20 oraz 1.7.x przed 1.7.5 zawiera podatność nieprawidłowego uwierzytelniania w instalacjach wielohostowych. Gdy użytkownik loguje się adresem aliasowym, rcube_user::query() dopasowywał adres do rekordów tożsamości bez kwalifikowania wyszukiwania hostem IMAP, więc logowanie mogło zostać rozwiązane do konta użytkownika należącego do innego hosta IMAP.
- CVE-2026-114731Średnie
Roundcube Webmail przed wersją 1.6.20 oraz 1.7.x przed 1.7.5 jest dotknięty podatnością niekontrolowanego zużycia zasobów w proxy CSS (akcja utils/modcss). Pobierany arkusz stylów był wczytywany do pamięci w całości, bez limitu rozmiaru i limitu czasu odczytu, co pozwalało wyczerpać pamięć serwera.
- CVE-2026-114730Wysokie
Roundcube Webmail w wersjach 1.6.14–1.6.19 oraz 1.7.0–1.7.4 jest podatny na obejście filtra SSRF. Czarna lista sieciowa w rcube_utils::is_local_url() pomija prefiksy NAT64 64:ff9b::/96 i 64:ff9b:1::/48 oraz adres ::/128, co pozwala na dostęp do adresów loopback, link-local i metadanych chmury.
Oryginalny opis (angielski, źródło NVD)
Roundcube Webmail before 1.6.20 and 1.7.x before 1.7.5 is affected by a CSRF validation bypass in the mark-as-junk action of the markasjunk plugin. The plugin read the _uid parameter from POST data but passed it to rcmail::get_uids() without constraining the input mode, so values re-read inside that helper could be taken from the query string and the action carried out without a valid CSRF token. Upstream fixed this in the commit “Fix CSRF validation bypass in the mark-as-junk action”, which passes rcube_utils::INPUT_POST explicitly.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS