Seguridad · 23 de octubre de 2026
Actualización de seguridad para Roundcube Webmail
El equipo de desarrollo del software de correo web Roundcube Webmail lanzó el 19 de octubre de 2026 una actualización de seguridad, que incluye las versiones 1.7.5 y 1.6.20. Se han realizado correcciones de múltiples vulnerabilidades y se advierte a los usuarios que tomen precauciones.
Aunque en el aviso no se especifican los números CVE ni la puntuación base del sistema de puntuación de vulnerabilidades común CVSSv3.1, se han implementado 20 correcciones relacionadas con la visualización y manipulación de correos electrónicos, el procesamiento de contenido externo y la autenticación.
En lo que respecta a IMAP, se identificó una vulnerabilidad que permitía la inyección de comandos mediante el uso de códigos de nueva línea en varias acciones, la cual ha sido abordada. También se corrigió un problema de inyección de encabezados de correo relacionado con parámetros como el nombre del remitente, References, In-Reply-To, Message-ID y From durante la reenvío de correos.
Además, se implementaron correcciones para problemas de filtrado en la prevención de solicitudes forjadas del lado del servidor (SSRF), así como para la evasión de restricciones en la carga de contenido externo mediante el mal uso de SVG y CSS. Se abordaron otros problemas como la validación de CSRF en operaciones de marcado de correo no deseado y la inyección de scripts en respuesta a errores del controlador de contraseñas.
Estas actualizaciones son cruciales para mantener la seguridad de los usuarios de Roundcube Webmail frente a las amenazas actuales.