FICHE CVE

CVE-2026-35544

Publiée le 2026-04-03 · Dernière modification le 2026-07-24

🇫🇷 EN BREF

Les versions de Roundcube Webmail antérieures à 1.5.14 et 1.6.14 sont affectées par une désinfection incorrecte du CSS dans les e-mails HTML. Un attaquant peut envoyer un e-mail spécialement conçu à un utilisateur pour contourner les mesures de sécurité visuelles en utilisant un style de « position fixe », ce qui peut induire le destinataire en erreur via des superpositions d'interface utilisateur. Cette action peut être exécutée à distance sans authentification ni interaction de l'utilisateur, autre que l'ouverture de l'e-mail par la victime.

CVSS 3.15.3 MOYENNE

Type de faiblesse

CWE-669

Publiée2026-04-03

Dernière modification2026-07-24

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéAucun

Impact sur l'intégritéFaible

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

An issue was discovered in Roundcube Webmail before 1.5.14 and 1.6.14. Insufficient Cascading Style Sheets (CSS) sanitization in HTML e-mail messages may lead to a fixed-position mitigation bypass via the use of !important.