CVE-2026-114729 in Roundcube
Riassunto
di VulDB • 22/10/2026
Roundcube Webmail prima della versione 1.6.20 e delle versioni 1.7.x precedenti alla 1.7.5 è affetto da un bypass del blocco dei contenuti remoti. rcube_washtml controllava gli attributi SMIL dell'animazione SVG `to`, `from` e i valori degli URI, ma non l'attributo `by`; di conseguenza, markup presente in un messaggio HTML causava il caricamento di contenuti remoti senza il consenso dell'utente, rivelando l'indirizzo IP del client e confermando che il messaggio era stato aperto. Il mantenitore upstream ha risolto questo problema nel commit "Fix remote-content blocker bypass via SVG SMIL `by` attribute".
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.