FICHE CVE

CVE-2026-35540

Publiée le 2026-04-03 · Dernière modification le 2026-07-24

🇫🇷 EN BREF

Les versions 1.6.0 à 1.6.13 de Roundcube Webmail sont affectées par un défaut de nettoyage du CSS dans les e-mails reçus. Un attaquant peut envoyer un e-mail spécialement conçu qui force votre serveur à effectuer des requêtes vers des hôtes du réseau interne, ce qui pourrait entraîner la fuite d'informations système privées. Cette attaque ne nécessite ni authentification ni interaction de l'utilisateur, bien qu'elle soit techniquement difficile à exécuter avec succès.

CVSS 3.15.4 MOYENNE

Type de faiblesse

CWE-669

Publiée2026-04-03

Dernière modification2026-07-24

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueÉlevée

Privilèges requisAucun

Interaction utilisateurAucune

PortéeModifiée

Impact sur la confidentialitéFaible

Impact sur l'intégritéFaible

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

An issue was discovered in Roundcube Webmail 1.6.0 before 1.6.14. Insufficient Cascading Style Sheets (CSS) sanitization in HTML e-mail messages may lead to SSRF or Information Disclosure, e.g., if stylesheet links point to local network hosts.