الأمن · 23 أكتوبر 2026
تحديث أمني لبرنامج البريد الإلكتروني Roundcube
أصدر فريق تطوير برنامج البريد الإلكتروني "Roundcube Webmail" تحديثًا أمنيًا في 19 أكتوبر 2026، والذي يحمل الإصدارين "1.7.5" و"1.6.20". تم إصلاح عدة ثغرات، ويحث الفريق المستخدمين على توخي الحذر.
في الوقت الحالي، لم يتم تحديد أرقام CVE أو درجات الأساس في نظام تقييم الثغرات الشائعة "CVSSv3.1"، ولكن تم إجراء 20 إصلاحًا تشمل تصفح البريد الإلكتروني والتفاعل معه ومعالجة المحتويات الخارجية وإجراءات المصادقة.
فيما يتعلق بـ"IMAP"، تم اكتشاف ثغرة تسمح بحقن الأوامر باستخدام رموز السطر الجديد عبر عدة إجراءات، وتم اتخاذ التدابير اللازمة.
تم إصلاح مشكلة تتعلق برؤوس البريد الإلكتروني، بما في ذلك حقول مثل اسم المرسل عند إعادة الإرسال و"References" و"In-Reply-To" و"Message-ID" و"From"، والتي كانت عرضة لحقن رؤوس البريد الإلكتروني. كما تم استهداف مواضيع الرسائل المرسلة والمرفقات وURI البيانات للصور المضمنة.
علاوة على ذلك، تم معالجة مشكلة تتعلق بالتصفية الخاصة بالطلبات الخبيثة من جانب الخادم (SSRF) والتي كانت تسمح بتجاوز الفحص. كما تم التعامل مع مشكلة تتعلق بتجاوز قيود تحميل المحتوى الخارجي باستخدام "SVG" و"CSS".
تم إصلاح أيضًا ثغرات تتعلق بتجاوز تحقق طلبات المواقع المتعددة (CSRF) في عمليات تحديد الرسائل غير المرغوب فيها، والثغرات الناتجة عن استجابة أخطاء محرك كلمة المرور التي تؤدي إلى حقن سكريبتات عبر المواقع (XSS).