CVE-2026-75006
ŚrednieCVSS 5.8Streszczenie
Roundcube Webmail przed wersjami 1.6.18 i 1.7.3 ma niedostateczną sanityzację CSS w wiadomościach HTML, co może prowadzić do SSRF lub ujawnienia informacji, np. gdy linki do arkuszy stylów wskazują na hosty w sieci lokalnej. Problem wynika z niekompletnych poprawek dla CVE-2026-35540, CVE-2026-48843 i CVE-2026-62643.
Ocena ryzyka
Ryzyko ataków SSRF na wewnętrzne zasoby sieciowe oraz ujawnienia wrażliwych informacji organizacji.
Rekomendacja
Zaleca się aktualizację Roundcube Webmail do wersji 1.6.18 lub 1.7.3 oraz wdrożenie dodatkowych zabezpieczeń na poziomie zapory sieciowej.
Oryginalny opis (angielski, źródło NVD)
In Roundcube Webmail before 1.6.18 and 1.7.x before 1.7.3, insufficient Cascading Style Sheets (CSS) sanitization in HTML e-mail messages may lead to SSRF or Information Disclosure, e.g., if stylesheet links point to local network hosts. This issue exists because of insufficient fixes for CVE-2026-35540, CVE-2026-48843 and CVE-2026-62643.