FICHE CVE

CVE-2026-75010

Publiée le 2026-08-17 · Dernière modification le 2026-09-01

🇫🇷 EN BREF

Les installations de Roundcube Webmail utilisant le plugin de mot de passe avec le pilote Modoboa sont concernées. Un utilisateur authentifié peut provoquer la fuite d'un jeton API Modoboa vers un serveur qu'il contrôle, ce qui pourrait lui permettre de modifier les paramètres du compte ou de lire des données. Cette attaque peut être réalisée via le réseau avec une faible complexité et ne nécessite aucune interaction de la part d'autres utilisateurs.

CVSS 3.16.4 MOYENNE

Type de faiblesse

CWE-669

Publiée2026-08-17

Dernière modification2026-09-01

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeModifiée

Impact sur la confidentialitéFaible

Impact sur l'intégritéFaible

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

In Roundcube Webmail before 1.6.18 and 1.7.x before 1.7.3, the modoboa driver of the password plugin could leak a Modoboa API authentication token to a user-controlled host via crafted session data. This issue only affects Roundcube instances using the password plugin with its modoboa driver.