Sécurité · 23 octobre 2026
Mise à jour de sécurité pour Roundcube Webmail
L'équipe de développement du logiciel de webmail Roundcube Webmail a annoncé le 19 octobre 2026, heure locale, la publication des mises à jour de sécurité 1.7.5 et 1.6.20. Ces mises à jour corrigent plusieurs vulnérabilités et appellent les utilisateurs à la vigilance.
Bien que les numéros CVE et le score de base du système d'évaluation des vulnérabilités commun, CVSSv3.1, n'aient pas été fournis dans l'avis, 20 correctifs ont été appliqués, touchant des domaines tels que la consultation des courriels, la manipulation, le traitement de contenu externe et l'authentification.
Concernant les vulnérabilités liées à IMAP, il a été établi qu'une injection de commande était possible via des codes de saut de ligne dans plusieurs actions. Des corrections ont été mises en œuvre pour y remédier.
Des problèmes d'injection d'en-têtes de courriel ont également été résolus, notamment concernant les paramètres de nom d'affichage de l'expéditeur en cas de renvoi, ainsi que les champs References, In-Reply-To, Message-ID et From. Des attaques visant le sujet des courriels transférés et les types de médias contenus dans les URI de données d'images en ligne ont été identifiées.
De plus, un problème permettant de contourner les filtres de protection contre la falsification de requêtes côté serveur (SSRF) a été corrigé, ainsi que des failles permettant d'éviter les restrictions de chargement de contenu externe en abusant de SVG et CSS. D'autres corrections incluent la validation des demandes de désignation de spam pour éviter la falsification de requêtes intersites (CSRF) et des problèmes de script intersite (XSS) liés aux réponses d'erreur du pilote de mot de passe.