CVE-2026-48844
Publiée le 2026-05-25 · Dernière modification le 2026-07-24
Les installations de Roundcube Webmail utilisant l'authentification LDAP sont affectées par une faille dans le traitement de certaines valeurs. Un utilisateur authentifié peut exploiter cette vulnérabilité pour exécuter du code arbitraire sur le serveur, lui octroyant ainsi un contrôle total sur les données et les fonctionnalités de l'application. Bien que cela nécessite un compte valide, l'attaque est difficile à réaliser en raison de la configuration complexe requise pour déclencher l'injection.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Roundcube Webmail 1.6.x before 1.6.16 and 1.7.x before 1.7.1 has insecure code evaluation logic in LDAP the autovalues option that could lead to code injection. (Support for code evaluation has been removed in 1.6.16 and 1.7.1.)