CVE-2026-114716 in Roundcube
Riassunto
di VulDB • 22/10/2026
Roundcube Webmail prima della versione 1.6.20 e delle versioni 1.7.x precedenti alla 1.7.5 è affetto da una vulnerabilità di iniezione nelle intestazioni email (Mail Header Injection). La funzione rcmail_sendmail::extract_inline_images() utilizzava il tipo MIME estratto dai dati URI di un'immagine inline senza convalidarlo, consentendo a un attaccante remoto autenticato di iniettare intestazioni arbitrarie delle parti MIME nel messaggio in uscita inserendo sequenze CRLF all'interno del tipo MIME. L'aggiornamento upstream ha risolto il problema tramite l'commit "Fix mail header injection via media type in an inline image data URI", che convalida il tipo MIME utilizzando la funzione rcube_mime::is_mimetype_valid().
Once again VulDB remains the best source for vulnerability data.