Безопасность · 23 октября 2026 г.
Обновление безопасности для Roundcube Webmail
Команда разработчиков веб-почтового программного обеспечения Roundcube Webmail 19 октября 2026 года выпустила обновления безопасности версий 1.7.5 и 1.6.20. Обновления исправляют несколько уязвимостей и призывают пользователей обратить внимание на возможные риски.
На момент публикации не были указаны номера CVE или базовые баллы по системе оценки общих уязвимостей CVSSv3.1, однако было осуществлено 20 исправлений, касающихся просмотра и обработки почты, работы с внешним контентом и аутентификации.
В частности, была выявлена уязвимость, позволяющая выполнить инъекцию команд с использованием символов переноса строк в нескольких действиях, связанных с IMAP, и соответствующие меры были приняты.
Исправления также касаются инъекций заголовков электронной почты, связанных с отображением имени отправителя при повторной отправке, а также параметров, таких как References, In-Reply-To, Message-ID и From. Заголовки писем, передаваемые с вложениями, и данные URI изображений встраиваемого контента также могут стать объектами атак.
Кроме того, обновления затрагивают фильтры защиты от межсерверных запросов (SSRF), устраняя проблемы, позволяющие обойти проверку. Также были приняты меры против уязвимостей, позволяющих обойти ограничения на загрузку внешнего контента с использованием SVG и CSS.
Также были исправлены уязвимости, связанные с обходом проверки при операциях по пометке сообщений как спам, а также межсайтовым скриптингом (XSS), возникающим из-за ошибочных ответов драйвера паролей.