CVE-2026-74997
WysokieCVSS 8.8Streszczenie
W Roundcube Webmail przed wersją 1.6.18 oraz w wersjach 1.7.x przed 1.7.3, sterownik cmd_learn wtyczki markasjunk jest podatny na zdalne wykonanie kodu poprzez spreparowane wartości zastępcze. Problem dotyczy tylko instancji Roundcube używających wtyczki markasjunk z jej sterownikiem cmd_learn.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do zdalnego wykonania kodu na serwerze, co może prowadzić do pełnej kompromitacji systemu pocztowego.
Rekomendacja
Zaleca się aktualizację Roundcube do wersji 1.6.18 lub 1.7.3 (lub nowszej) oraz wyłączenie sterownika cmd_learn, jeśli nie jest niezbędny.
Oryginalny opis (angielski, źródło NVD)
In Roundcube Webmail before 1.6.18 and 1.7.x before 1.7.3, the cmd_learn driver of the markasjunk plugin is subject to remote code execution via crafted placeholder replacement values. This issue only affects Roundcube instances using the markasjunk plugin with its cmd_learn driver.