Podatności Roundcube Webmail

Roundcube Webmail w wersji 1.1.x przed 1.1.2 umożliwia zdalnym atakującym uzyskanie poufnych informacji poprzez odczyt plików w katalogach (1) config, (2) temp lub (3) logs.

Roundcube Webmail umożliwia nieautoryzowane resetowanie haseł przez uwierzytelnionych użytkowników. Dotyczy to wersji przed 1.0.11, 1.1.x przed 1.1.9 oraz 1.2.x przed 1.2.5. Problem wynika z niewłaściwie ograniczonego wywołania exec w wirtualnych sterownikach i sterownikach sasl w wtyczce hasła.

W podatności CVE-2016-4069 w Roundcube Webmail przed wersją 1.1.5 występuje luka typu cross-site request forgery (CSRF), która umożliwia zdalnym atakującym przejęcie uwierzytelnienia użytkowników dla żądań pobierających załączniki. Może to prowadzić do odmowy usługi poprzez nadmierne zużycie dysku.

Roundcube Webmail przed 1.6.20 oraz 1.7.x przed 1.7.5 zawiera podatność nieprawidłowego uwierzytelniania w instalacjach wielohostowych. Gdy użytkownik loguje się adresem aliasowym, rcube_user::query() dopasowywał adres do rekordów tożsamości bez kwalifikowania wyszukiwania hostem IMAP, więc logowanie mogło zostać rozwiązane do konta użytkownika należącego do innego hosta IMAP.

Roundcube Webmail przed wersją 1.6.20 oraz 1.7.x przed 1.7.5 jest dotknięty podatnością niekontrolowanego zużycia zasobów w proxy CSS (akcja utils/modcss). Pobierany arkusz stylów był wczytywany do pamięci w całości, bez limitu rozmiaru i limitu czasu odczytu, co pozwalało wyczerpać pamięć serwera.

Roundcube Webmail w wersjach 1.6.14–1.6.19 oraz 1.7.0–1.7.4 jest podatny na obejście filtra SSRF. Czarna lista sieciowa w rcube_utils::is_local_url() pomija prefiksy NAT64 64:ff9b::/96 i 64:ff9b:1::/48 oraz adres ::/128, co pozwala na dostęp do adresów loopback, link-local i metadanych chmury.

Roundcube Webmail w wersjach przed 1.6.20 i 1.7.x przed 1.7.5 jest podatny na obejście blokowania zdalnych treści. rcube_washtml sprawdzał atrybuty animacji SVG SMIL `to`, `from` i wartości URI, ale nie `by`; w rezultacie znaczniki w wiadomości HTML powodowały ładowanie zdalnych treści bez zgody użytkownika, ujawniając adres IP klienta i potwierdzając otwarcie wiadomości. Poprawka została wprowadzona w commicie „Fix remote-content blocker bypass via SVG SMIL `by` attribute”.

Roundcube Webmail w wersjach przed 1.6.20 i 1.7.x przed 1.7.5 jest podatny na obejście blokowania zdalnych treści w obsłudze atrybutów FuncIRI. rcube_washtml wykrywał token CSS url() za pomocą wzorca, który wyliczał tylko niektóre jego zapisane formy, więc wartości używające innych sekwencji ucieczki CSS, na przykład \000075rl( lub u\72 l(, nie były rozpoznawane i zdalne treści były ładowane z wiadomości HTML bez zgody użytkownika. Poprawka została wprowadzona w commicie „Fix remote content blocking bypass via CSS escapes in FuncIRI attributes (again)”, który rozwiązuje sekwencje ucieczki CSS przed dopasowaniem i sprawdza również atrybuty `to`, `from` i `by`.

Roundcube Webmail w wersjach przed 1.6.20 oraz 1.7.x przed 1.7.5 przekazuje potencjalnie niebezpieczną zawartość do ImageMagick podczas zmiany rozmiaru obrazów. Formaty SVG i EPS były akceptowane jako prawidłowe typy obrazów przy przesyłaniu zdjęć kontaktów i mogą odwoływać się do zewnętrznych zasobów oraz wywoływać delegaty ImageMagick.

Roundcube Webmail przed 1.6.20 oraz 1.7.x przed 1.7.5 zawiera podatność wstrzyknięcia nagłówków poczty w akcji Bounce (resend). rcube_mime::decode_address_list() nie usuwał znaków kontrolnych z zdekodowanej nazwy wyświetlanej, więc wiadomość, której nazwa wyświetlana w polu From zawiera sekwencje CRLF w encoded word, mogła wstrzyknąć dowolne nagłówki do wiadomości emitowanej przy odbiciu.

Roundcube Webmail w wersjach przed 1.6.20 oraz 1.7.x przed 1.7.5 jest podatny na wstrzyknięcie nagłówków wiadomości e-mail. Funkcja rcmail_sendmail usuwała znaki nowej linii tylko z nagłówków Subject i Organization, pozostawiając inne wartości nagłówków pobierane z parametrów żądania bez sanityzacji, co pozwala uwierzytelnionemu zdalnie atakującemu wstrzyknąć dowolne nagłówki do wychodzącej wiadomości poprzez parametry References, In-Reply-To, Message-ID i From.

Roundcube Webmail przed 1.6.20 oraz 1.7.x przed 1.7.5 zawiera prymityw wstrzykiwania obiektów w rcube_session::unserialize(). Klucz sesji z prefiksem „!” był traktowany jako pozbawiony wartości, a rekonstruowany ciąg serializowany był emitowany z kluczem bez odpowiadającej wartości, co desynchronizowało resztę danych wejściowych i powodowało interpretację kolejnych danych sesji jako wartości serializowanej. Daje to atakującemu mogącemu wpływać na przechowywane dane sesji prymityw wstrzykiwania obiektów PHP.

W Roundcube Webmail przed 1.6.20 oraz w gałęzi 1.7.x przed 1.7.5 można obejść limity zasobów ImageMagick podczas generowania miniatur. Gdy rcube_image przechodzi na GD, sprawdzanie dostępnej pamięci było stosowane tylko na Windows, więc na innych platformach spreparowany obraz o dużych wymiarach był przetwarzany przez GD bez limitu zasobów i mógł wyczerpać pamięć serwera. Poprawka stosuje sprawdzanie pamięci na wszystkich platformach.

Roundcube Webmail przed 1.6.20 oraz 1.7.x przed 1.7.5 zawiera obejście ograniczania zakresu CSS w wiadomościach HTML. Funkcja rcube_utils::mod_css_styles() nie traktowała prologu reguły @layer jako granicy selektora, przez co selektory po regule @-rule nie były ograniczane do treści wiadomości i mogły stylizować cały interfejs.

Roundcube Webmail w wersjach przed 1.6.20 oraz 1.7.x przed 1.7.5 pozwala na obejście ustawienia konfiguracyjnego disabled_actions. Sprawdzenie porównywało jedynie nazwę akcji z żądania, więc zdalny uwierzytelniony atakujący mógł wywołać akcję z listy disabled_actions, żądając jej przez przestarzały alias. Poprawka przenosi sprawdzenie do rcmail::action_handler() i rozwiązuje aliasy przed porównaniem.

Roundcube Webmail przed 1.6.20 i 1.7.x przed 1.7.5 jest podatny na wstrzyknięcie poleceń IMAP. Zdalny uwierzytelniony atakujący może wykorzystać sekwencje CRLF wstrzyknięte do parametru _flag akcji mail/mark, aby wykonać dowolne polecenia IMAP.

Roundcube Webmail w wersjach przed 1.6.20 oraz 1.7.x przed 1.7.5 jest podatny na obejście walidacji CSRF w akcji oznaczania jako spam w pluginie markasjunk. Plugin odczytywał parametr _uid z danych POST, ale przekazywał go do rcmail::get_uids() bez ograniczenia trybu wejścia, więc wartości ponownie odczytane w tej funkcji mogły pochodzić z ciągu zapytania, a akcja została wykonana bez ważnego tokenu CSRF. Poprawka przekazuje jawnie rcube_utils::INPUT_POST.

Roundcube Webmail przed 1.6.20 i 1.7.x przed 1.7.5 jest podatny na cross-site scripting w pluginie password. Tekst błędu zwracany przez sterownik hasła był wstawiany do komunikatu bez escapowania HTML, więc backend mogący wpłynąć na ten tekst (np. DirectAdmin API) mógł wstrzyknąć skrypt do interfejsu Roundcube.

W Roundcube Webmail przed wersją 1.6.20 oraz 1.7.x przed 1.7.5 występuje podatność wstrzyknięcia nagłówków poczty podczas przekazywania wiadomości jako załącznika. Temat przekazywanej wiadomości był używany dosłownie do generowania nazwy załącznika, więc odebrana wiadomość z sekwencjami CRLF w temacie mogła wstrzyknąć dowolne nagłówki części MIME do wychodzącej wiadomości.

Roundcube Webmail w wersjach przed 1.6.20 i 1.7.x przed 1.7.5 jest podatny na wstrzyknięcie nagłówka wiadomości e-mail. Funkcja rcmail_sendmail::extract_inline_images() używała typu MIME pobranego z URI danych obrazu wbudowanego bez jego walidacji, więc zdalny uwierzytelniony atakujący mógł wstrzyknąć dowolne nagłówki części MIME do wychodzącej wiadomości, umieszczając sekwencje CRLF w tym typie MIME. Poprawka upstream waliduje typ MIME za pomocą rcube_mime::is_mimetype_valid().

Roundcube Webmail przed 1.6.20 oraz 1.7.x przed 1.7.5 zawiera podatność nieprawidłowej autoryzacji w sterowniku Modoboa pluginu password. Sterownik brał pierwszy wpis wyniku wyszukiwania kont zwróconego przez API Modoboa zamiast dopasować uwierzytelnionego użytkownika, więc zmiana hasła mogła zostać zastosowana do innego konta.

Roundcube Webmail przed 1.6.20 oraz 1.7.x przed 1.7.5 zawiera podatność path traversal w pluginie squirrelmail_usercopy. W backendzie opartym na plikach ścieżka źródłowa była budowana z nazwy logowania bez odrzucania separatorów ścieżek, więc nazwa logowania zawierająca ukośnik mogła spowodować odczyt i import plików spoza skonfigurowanego katalogu squirrelmail_data_dir.

Roundcube Webmail w wersjach przed 1.6.20 oraz 1.7.x przed 1.7.5 jest podatny na wstrzyknięcie poleceń IMAP. Zdalny uwierzytelniony atakujący może wykorzystać sekwencje CRLF wstrzyknięte do parametru _uid akcji mail/headers i mail/viewsource, aby wykonać dowolne polecenia IMAP.

Roundcube Webmail przed wersjami 1.6.18 i 1.7.3 ma podatność w sterowniku modoboa wtyczki hasła, która może ujawnić token uwierzytelniający API Modoboa do kontrolowanego przez użytkownika hosta poprzez spreparowane dane sesji. Problem dotyczy tylko instancji używających wtyczki hasła ze sterownikiem modoboa.

Roundcube Webmail przed wersjami 1.6.18 i 1.7.3 ma podatność na wstrzyknięcie w filtrze wyszukiwania LDAP z powodu niepoprawnego escapowania podstawień %u/%fu/%d, co może prowadzić do ujawnienia informacji lub eskalacji uprawnień.

Roundcube Webmail przed wersjami 1.6.18 i 1.7.3 ma niedostateczną sanityzację CSS w wiadomościach HTML, co może prowadzić do SSRF lub ujawnienia informacji, np. gdy linki do arkuszy stylów wskazują na hosty w sieci lokalnej. Problem wynika z niekompletnych poprawek dla CVE-2026-35540, CVE-2026-48843 i CVE-2026-62643.

Roundcube Webmail przed wersjami 1.6.18 i 1.7.3 ma podatność polegającą na nieprawidłowym cytowaniu nazw reguł, co może prowadzić do obejścia ustawienia managesieve_disabled_actions poprzez spreparowaną nazwę reguły w skrypcie Sieve. Problem dotyczy tylko instancji używających wtyczki managesieve.

Roundcube Webmail przed wersjami 1.6.18 i 1.7.3 ma podatność związaną z niezamkniętym url() w atrybucie FuncIRI obrazu SVG, co może umożliwić obejście blokowania zdalnych obrazów, prowadząc do ujawnienia informacji lub eskalacji uprawnień.

W Roundcube Webmail przed wersją 1.6.18 oraz w wersjach 1.7.x przed 1.7.3, desynchronizacja liczników bajtów w wyszukiwaniu poczty i komendzie LITERAL+ może prowadzić do ujawnienia informacji lub eskalacji uprawnień poprzez wstrzyknięcie komend IMAP.

Roundcube Webmail przed wersjami 1.6.18 i 1.7.3 ma podatność związaną z nieprawidłową sanityzacją HTML/CSS atrybutu "by" animacji SVG, co może prowadzić do obejścia blokowania zdalnych obrazów, a w konsekwencji do ujawnienia informacji lub eskalacji uprawnień.

Roundcube Webmail przed wersjami 1.6.18 i 1.7.3 ma podatność na przechowywany XSS w akcji "Dodaj do książki adresowej".

W Roundcube Webmail przed wersją 1.6.18 oraz w wersjach 1.7.x przed 1.7.3, odpowiedzi z proxy CSS nie były walidowane, co może skutkować ujawnieniem informacji lub atakiem XSS (cross-site scripting) poprzez MIME sniffing.

W Roundcube Webmail przed wersją 1.6.18 oraz w wersjach 1.7.x przed 1.7.3, sterownik cmd_learn wtyczki markasjunk jest podatny na zdalne wykonanie kodu poprzez spreparowane wartości zastępcze. Problem dotyczy tylko instancji Roundcube używających wtyczki markasjunk z jej sterownikiem cmd_learn.

W Roundcube Webmail przed wersjami 1.6.17 i 1.7.x przed 1.7.2 odkryto podatność na trwały atak XSS poprzez spreparowaną wiadomość e-mail w formacie zwykłego tekstu. Atakujący może wstrzyknąć złośliwy kod JavaScript, który wykona się w sesji ofiary po otwarciu lub podglądzie wiadomości, bez konieczności kliknięcia.

W Roundcube Webmail przed wersją 1.6.17 oraz 1.7.x przed 1.7.2 występuje podatność na trwały atak XSS. Problem wynika z nieprawidłowego escapowania typu MIME załącznika na stronie ostrzegawczej walidacji załączników.

Wtyczka hasła w Roundcube Webmail przed wersjami 1.6.17 i 1.7.2 była podatna na podszywanie się pod nazwę użytkownika poprzez dane sesji, co mogło prowadzić do przejęcia konta.

W Roundcube Webmail przed wersjami 1.6.17 i 1.7.2 stwierdzono niedostateczne oczyszczanie arkuszy stylów CSS w wiadomościach HTML. Może to prowadzić do ataków SSRF lub ujawnienia informacji, gdy linki do arkuszy stylów wskazują na hosty w sieci lokalnej.

W Roundcube Webmail przed wersją 1.6.17 oraz 1.7.x przed 1.7.2 odkryto nieskończoną pętlę w dekoderze TNEF, która może prowadzić do odmowy usługi podczas otwierania wiadomości e-mail z załącznikiem TNEF.

W Roundcube Webmail przed wersją 1.6.17 oraz w wersjach 1.7.x przed 1.7.2, dekoder TNEF był podatny na atak typu odmowa usługi (DoS) poprzez spreparowany rozmiar skompresowanego RTF.

W Roundcube Webmail 1.6.x przed 1.6.16 i 1.7.x przed 1.7.1 niesanitowane pole tematu w przywracanej wersji roboczej może prowadzić do trwałego XSS/HTML/CSS na współdzielonych skrzynkach pocztowych.

Roundcube Webmail w wersjach 1.6.x przed 1.6.16 oraz 1.7.x przed 1.7 ma niewystarczającą sanityzację HTML, co umożliwia wstrzyknięcie CSS przez dokument SVG zawierający element animate z atrybutem attributeName.

Roundcube Webmail w wersjach 1.6.x przed 1.6.16 oraz 1.7.x przed 1.7.1 umożliwia przedautoryzacyjne usunięcie dowolnego pliku poprzez zatrucie sesji Redis/Memcache.

Podatność w Roundcube Webmail w wersjach 1.6.x między 1.6.14 a 1.6.16 oraz 1.7.x przed 1.7.1. Blokowanie zdalnych obrazów nie działało dla URL-i wskazujących na lokalne/prywatne cele, co może prowadzić do ujawnienia informacji lub eskalacji uprawnień przez wiadomość HTML.

Roundcube Webmail w wersjach 1.6.x przed 1.6.16 oraz 1.7.x przed 1.7.1 zawiera niebezpieczną logikę ewaluacji kodu w opcji autovalues LDAP, która może prowadzić do iniekcji kodu. Wsparcie dla ewaluacji kodu zostało usunięte w wersjach 1.6.16 i 1.7.1.

Roundcube Webmail w wersjach 1.6.x od 1.6.14 do 1.6.16 oraz 1.7.x przed 1.7.1 ma niedostateczne oczyszczanie CSS w wiadomościach HTML, co może prowadzić do SSRF lub ujawnienia informacji, jeśli linki do arkuszy stylów wskazują na lokalne hosty sieciowe. Problem wynika z niekompletnej poprawki dla CVE-2026-35540.

Roundcube Webmail w wersjach 1.6.x przed 1.6.16 oraz 1.7.x przed 1.7.1 zawiera podatność na wstrzyknięcie SQL przed uwierzytelnieniem we wtyczce virtuser_query. Podatność wynika z obejścia escapowania backslash w funkcji preg_replace().