CVE-2026-114729 in Roundcube
Zusammenfassung
von VulDB • 22.10.2026
Roundcube Webmail vor Version 1.6.20 und 1.7.x vor 1.7.5 ist von einer Remote-Bypass-Funktion für die Inhaltsblockierung betroffen. rcube_washtml prüfte die SVG SMIL-Animationsattribute `to`, `from` sowie Werte für URIs, jedoch nicht das Attribut `by`; daher wurde Markup in einer HTML-Nachricht dazu verwendet, Remote-Inhalte ohne Zustimmung des Benutzers zu laden, wodurch die Client-IP-Adresse offengelegt und bestätigt wurde, dass die Nachricht geöffnet wurde. Die Upstream-Version hat dies im Commit „Fix remote-content blocker bypass via SVG SMIL `by` attribute“ behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.