FICHE CVE
CVE-2026-25916
Publiée le 2026-02-09 · Dernière modification le 2026-06-17
🇫🇷 EN BREF
Les installations de Roundcube Webmail sont concernées si elles utilisent des versions antérieures à 1.5.13 ou 1.6.13. Un attaquant peut contourner le paramètre « Bloquer les images distantes » en utilisant une image SVG spécifiquement conçue pour savoir si un utilisateur a ouvert un e-mail. Cela ne nécessite ni authentification ni privilèges particuliers, mais l'attaque requiert que l'utilisateur ouvre un e-mail malveillant pour fonctionner.
DÉTAIL DU VECTEUR CVSS
Vecteur d'attaqueRéseau
Complexité d'attaqueFaible
Privilèges requisAucun
Interaction utilisateurRequise
PortéeInchangée
Impact sur la confidentialitéFaible
Impact sur l'intégritéAucun
Impact sur la disponibilitéAucun
RÉFÉRENCES
Description officielle du NVD (en anglais)
Roundcube Webmail before 1.5.13 and 1.6 before 1.6.13, when "Block remote images" is used, does not block SVG feImage.