Sicherheit · 23. Oktober 2026
Roundcube Webmail erhält Sicherheitsupdates zur Behebung mehrerer Schwachstellen
Das Entwicklungsteam der Webmail-Software Roundcube Webmail hat am 19. Oktober 2026 eine Sicherheitsaktualisierung in Form der Versionen 1.7.5 und 1.6.20 veröffentlicht. In diesen Updates wurden mehrere Schwachstellen behoben, und die Nutzer werden aufgefordert, besondere Vorsicht walten zu lassen.
Zum Zeitpunkt der Veröffentlichung wurden keine spezifischen CVE-Nummern oder der Basiswert des Common Vulnerability Scoring System (CVSSv3.1) angegeben. Es wurden jedoch insgesamt 20 Korrekturen durchgeführt, die das Lesen und Bearbeiten von E-Mails, die Verarbeitung externer Inhalte sowie die Authentifizierung betreffen.
Im Zusammenhang mit IMAP wurde eine Schwachstelle aufgedeckt, die es ermöglicht, durch die Nutzung von Zeilenumbrüchen in mehreren Aktionen eine Befehlsinjektion durchzuführen. Dies wurde in den Updates behoben.
Bezüglich der E-Mail-Header wurden Probleme mit der E-Mail-Header-Injektion korrigiert, die über Parameter wie den Anzeigenamen des Absenders, "References", "In-Reply-To", "Message-ID" und "From" beim erneuten Senden auftraten. Auch E-Mail-Betreffzeilen und Daten-URIs von Inline-Bildern, die als Ziele für Angriffe dienen können, wurden bearbeitet.
Zusätzlich wurden Filter zur Bekämpfung von Server-Side Request Forgery (SSRF) angepasst, um Probleme zu beheben, die eine Umgehung der Überprüfung ermöglichten. Es wurde auch auf Probleme reagiert, die es ermöglichten, die Beschränkungen beim Laden externer Inhalte durch den Missbrauch von SVG und CSS zu umgehen.
Darüber hinaus wurden Korrekturen für die Umgehung von Cross-Site Request Forgery (CSRF) bei der Markierung von Spam sowie für Cross-Site Scripting (XSS) aufgrund von Fehlerantworten im Passworttreiber umgesetzt.