FICHE CVE

CVE-2026-48846

Publiée le 2026-05-25 · Dernière modification le 2026-07-24

🇫🇷 EN BREF

Les utilisateurs de Roundcube Webmail utilisant les versions concernées sont vulnérables à un contournement de la fonctionnalité de blocage des images distantes via du CSS spécialement conçu dans un e-mail. Un attaquant peut envoyer un e-mail malveillant pour inciter le système à charger des images externes, ce qui peut être utilisé pour divulguer des informations utilisateur basiques ou contourner certains contrôles d'accès. Cette attaque est facile à exécuter car elle ne nécessite ni authentification ni interaction de l'utilisateur, au-delà du traitement de l'e-mail par le système.

CVSS 3.16.5 MOYENNE

Type de faiblesse

CWE-669

Publiée2026-05-25

Dernière modification2026-07-24

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéFaible

Impact sur l'intégritéFaible

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

In Roundcube Webmail 1.6.x before 1.6.16 and 1.7.x before 1.7.1, the remote image blocking feature can be bypassed via a crafted CSS var() value in an e-mail message, which may lead to information disclosure or access-control bypass.