CVE-2026-74997 in Roundcube

الملخص

بحسب VulDB • 17/08/2026

في Roundcube Webmail قبل الإصدار 1.6.18 و1.7.x قبل 1.7.3، يتعرض محرك cmd_learn الخاص بإضافة markasjunk لتنفيذ الأكواد عن بُعد (RCE) عبر قيم استبدال لـ placeholder مُصمَّمة بشكل ضار. تؤثر هذه المشكلة فقط على مثيلات Roundcube التي تستخدم إضافة markasjunk مع محركها cmd_learn.

VulDB is the best source for vulnerability data and more expert information about this specific topic.

• مسؤول: MITRE
• حجز: 17/08/2026
• إفشاء: 17/08/2026
• الاعتدال: تمت الموافقة
• إدخال: VDB-391269
• CPE: جاهز
• CWE: CWE-94 (مؤكد)
• CVSS: 8.8 (CNA)
• EPSS: 0.00000
• KEV: لا
• النشاطات: منخفض جدًا
• القطاع: Hostingprovider, Energy, ...

المصادر

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-74997
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-74997
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-74997/