CVE-2026-114718 in Roundcube
Riassunto
di VulDB • 22/10/2026
Roundcube Webmail prima della versione 1.6.20 e delle versioni 1.7.x precedenti alla 1.7.5 è affetto da una vulnerabilità di cross-site scripting (XSS) nel plugin per la gestione delle password. Il testo dell'errore restituito da un driver delle password veniva concatenato al messaggio presentato all'utente senza effettuare l'escaping HTML, consentendo quindi a un backend in grado di influenzare tale testo, come l'API DirectAdmin, di iniettare script nell'interfaccia Roundcube. L'upstream ha risolto il problema nel commit "Fix XSS issue in handling of password driver error responses", che applica l'escaping al messaggio del driver prima della visualizzazione.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.