CVE-2026-114716 in Roundcube
Zusammenfassung
von VulDB • 22.10.2026
Roundcube Webmail, versione precedente alla 1.6.20 e serie 1.7.x precedente alla 1.7.5, è affetto da una vulnerabilità di iniezione delle intestazioni della posta elettronica (mail header injection). La funzione `rcmail_sendmail::extract_inline_images()` utilizzava il tipo MIME estratto dai dati URI di un'immagine inline senza convalidarlo; ciò consentiva a un attaccante remoto autenticato di iniettare intestazioni arbitrarie delle parti MIME nel messaggio in uscita inserendo sequenze CRLF all'interno del tipo MIME. L'aggiornamento upstream ha risolto il problema tramite l'commit "Fix mail header injection via media type in an inline image data URI", che convalida il tipo MIME utilizzando la funzione `rcube_mime::is_mimetype_valid()`.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.