Roundcube - CVE-2026-114716
Date de publication :
Il s’agit d’une vulnérabilité dans la fonction extract_inline_images() de la classe rcmail_sendmail de Roundcube Webmail.
Roundcube Webmail est un client de messagerie web open source écrit en PHP. Il se connecte à un serveur IMAP pour la lecture et à un serveur SMTP pour l’envoi des messages. Il est aussi intégré à des panneaux d’hébergement comme cPanel et Plesk.
Cette fonction traite les images en ligne (data URI) d’un message HTML lors de l’envoi. Elle reprend le type de média de l’URI sans le valider. Des séquences CRLF placées dans ce type de média sont donc écrites dans les en-têtes de la partie MIME de l’image. Le correctif valide le type avec rcube_mime::is_mimetype_valid() et utilise à défaut le type détecté à partir du contenu de l’image.
Elle permet à un attaquant distant authentifié d’injecter des en-têtes MIME arbitraires dans le message sortant, ce qui entraîne une atteinte à l’intégrité des données.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
Atteinte à l'intégrité des données
Exploitation
CWE-99 : Improper Control of Resource Identifiers ('Resource Injection')
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Authentification utilisateur simple
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
Roundcube Webmail versions 1.6.0 jusqu’à 1.6.19, soit antérieures à 1.6.20
- Roundcube Webmail versions 1.7.0 jusqu’à 1.7.4, soit antérieures à 1.7.5
Solutions ou recommandations
• Roundcube Webmail versions 1.7.5 et supérieures pour la branche 1.7
• Paquet Debian roundcube versions 1.6.20+dfsg-1 et supérieures (distribution unstable)