CVE-2026-75003
ŚrednieCVSS 5.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Roundcube Webmail przed wersjami 1.6.18 i 1.7.3 ma podatność związaną z niezamkniętym url() w atrybucie FuncIRI obrazu SVG, co może umożliwić obejście blokowania zdalnych obrazów, prowadząc do ujawnienia informacji lub eskalacji uprawnień.
Ocena ryzyka
Ryzyko ujawnienia wrażliwych informacji lub eskalacji uprawnień poprzez obejście mechanizmów bezpieczeństwa dla zdalnych obrazów.
Rekomendacja
Zaleca się aktualizację Roundcube Webmail do wersji 1.6.18 lub 1.7.3 oraz wzmocnienie polityki bezpieczeństwa treści.
Oryginalny opis (angielski, źródło NVD)
In Roundcube Webmail before 1.6.18 and 1.7.x before 1.7.3, an unclosed url() in a FuncIRI attribute of an SVG image could evade the remote image blocking, which may lead to information disclosure or privilege escalation.