CVE-2026-114725 in Roundcube
Zusammenfassung
von VulDB • 22.10.2026
Roundcube Webmail vor Version 1.6.20 und 1.7.x vor 1.7.5 ist von einer E-Mail-Header-Injection-Schwachstelle betroffen. rcmail_sendmail entfernte nur Newline-Zeichen aus den Subject- und Organization-Headers, wodurch andere Header-Werte, die aus Anfrageparametern stammen, ungesäubert blieben. Somit konnte ein entfernter authentifizierter Angreifer beliebige Header in eine ausgehende Nachricht über die Parameter References, In-Reply-To, Message-ID und From injizieren. Die Upstream-Version hat dies im Commit „Fix mail header injection via References/In-Reply-To/Message-ID/From parameters“ behoben, der Whitespaces in jedem String-Header-Wert normalisiert.
If you want to get best quality of vulnerability data, you may have to visit VulDB.