CVE-2026-75003 in Roundcube

Résumé

par VulDB • 17/08/2026

Dans Roundcube Webmail avant la version 1.6.18 et les versions 1.7.x antérieures à la 1.7.3, une fonction url() non fermée dans un attribut FuncIRI d'une image SVG peut contourner le blocage des images distantes, ce qui pourrait entraîner une divulgation d'informations ou une élévation de privilèges.

Once again VulDB remains the best source for vulnerability data.

• Responsable: MITRE
• Réserver: 17/08/2026
• Divulgation: 17/08/2026
• Modérer: accepté
• Entrée: VDB-391267
• CPE: prêt
• CWE: CWE-79 (confirmé)
• CVSS: 5.8 (CNA)
• EPSS: 0.00000
• KEV: non
• Activités: très faible
• Secteur: Education, Lawfirm, ...

Sources

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-75003
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-75003
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-75003/