CVE-2026-114722

Les versions de Roundcube Webmail antérieures à 1.6.20 et 1.7.5 sont affectées par une faille dans la manière dont le logiciel gère le CSS au sein des e-mails HTML. Le système ne reconnaît pas certaines règles et sélecteurs CSS comme des limites, ce qui l'empêche d'isoler correctement le style de l'e-mail du reste de la page. Par conséquent, des styles destinés uniquement au corps du message peuvent « s'échapper » et s'appliquer à l'ensemble de l'interface du webmail.

Un attaquant peut envoyer un e-mail spécialement conçu pour modifier l'apparence de l'interface utilisateur de l'application, ce qui peut être utilisé pour usurper des boutons officiels ou tromper les utilisateurs afin qu'ils cliquent sur des liens malveillants. Cela impacte à la fois la confidentialité et l'intégrité en facilitant le phishing ou les attaques de type « UI redressing ». L'exploitation est relativement facile à exécuter via un réseau et ne nécessite aucune authentification ni interaction préalable de l'utilisateur, si ce n'est l'ouverture de l'e-mail.