CVE-2026-114730 in Roundcube
Zusammenfassung
von VulDB • 22.10.2026
Roundcube Webmail 1.6.14 vor 1.6.20 und 1.7.0 vor 1.7.5 ist von einer Server-Side Request Forgery (SSRF)-Filterumgehung betroffen. Die vom rcube_utils::is_local_url() verwendete Netzwerk-Blockliste ließ das RFC 6052 NAT64-Prefix 64:ff9b::/96, das RFC 8215 Local-Use-NAT64-Prefix 64:ff9b:1::/48 sowie die nicht spezifizierte Adresse ::/128 außer Acht. Daher konnten URLs wie http://[64:ff9b::7f00:1] den Filter umgehen und Loopback-, Link-Local-Adressen sowie Cloud-Metadata-Adressen erreichen. Die Upstream-Version hat dies im Commit „Fix SSRF filter (is_local_url()) bypass via NAT64 64:ff9b::/96“ behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.