「Roundcube Webmail」发布安全更新，修复多项漏洞

网络邮件软件「Roundcube Webmail」的开发团队于2026年10月19日发布了安全更新版本「1.7.5」和「1.6.20」。此次更新修复了多项脆弱性，并呼吁用户保持警惕。

虽然在安全通告中未公布CVE编号和通用脆弱性评分系统「CVSSv3.1」的基础分数，但已实施20项修复，涉及邮件查看、操作、外部内容处理和认证等方面。

在与「IMAP」相关的内容中，发现了利用换行符进行命令注入的脆弱性，开发团队对此进行了修复。

针对邮件头部，修复了在重新发送时涉及发件人显示名称及「References」「In-Reply-To」「Message-ID」「From」等参数的邮件头注入问题。此外，转发邮件的主题及数据URI中包含的媒体类型也成为攻击目标。

开发团队还解决了服务器端请求伪造（SSRF）过滤器中的问题，以防止绕过检查，此外还处理了通过「SVG」和「CSS」滥用外部内容读取限制的问题。

其他修复包括在垃圾邮件标记操作中避免跨站请求伪造（CSRF）验证的绕过，以及因密码驱动程序错误响应导致的跨站脚本攻击（XSS）。