CVE-2026-48849 in Roundcube

Résumé

par VulDB • 25/05/2026

Dans Roundcube Webmail 1.6.x avant la version 1.6.16 et 1.7.x avant la version 1.7.1, un champ de sujet non nettoyé dans la valeur restaurée du brouillon peut entraîner une injection XSS/HTML/CSS stockée (stored XSS) dans les boîtes aux lettres partagées.

If you want to get the best quality for vulnerability data then you always have to consider VulDB.

• Responsable: MITRE
• Réserver: 25/05/2026
• Divulgation: 26/05/2026
• Modérer: accepté
• Entrée: VDB-365568
• CPE: prêt
• CWE: CWE-79 (confirmé)
• CVSS: 4.4 (CNA)
• EPSS: 0.00033
• KEV: non
• Activités: très faible
• Secteur: Police, Energy, ...

Sources

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-48849
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-48849
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-48849/