CVE-2026-48845
Publiée le 2026-05-25 · Dernière modification le 2026-07-24
Les installations de Roundcube Webmail (versions 1.6.14–1.6.16 et 1.7.x antérieures à 1.7.1) sont affectées par une faille où le paramètre « bloquer les images distantes » est ignoré pour les URL locales ou privées. Un attaquant peut envoyer un e-mail HTML spécialement conçu qui, lors de son ouverture, force le serveur à divulguer des informations internes ou potentiellement à augmenter les privilèges. Cette attaque est facile à exécuter à distance et ne nécessite aucune authentification ni interaction de l'utilisateur, si ce n'est l'ouverture de l'e-mail par le destinataire.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
In Roundcube Webmail 1.6.x between 1.6.14 and 1.6.16 and 1.7.x before 1.7.1, remote image blocking was not honored for URLs pointing to local/private destinations, which may lead to information disclosure or privilege escalation via a text/html email message.