CVE-2026-75000
Publiée le 2026-08-17 · Dernière modification le 2026-09-01
Les utilisateurs de Roundcube Webmail utilisant des versions antérieures à 1.6.18 ou 1.7.3 sont touchés par une faille dans la manière dont le système nettoie les images SVG. Un attaquant non authentifié peut envoyer un e-mail spécialement conçu pour contourner les protections de blocage d'images afin de potentiellement divulguer des informations privées ou d'élever ses privilèges. Cette attaque est relativement facile à exécuter car elle ne nécessite qu'un accès réseau et aucune interaction directe de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
In Roundcube Webmail before 1.6.18 and 1.7.x before 1.7.3, improper HTML/CSS sanitization of the SVG animate "by" attribute may lead to remote image blocking bypass, which in turn may lead to information disclosure or privilege escalation.