PT-2026-29984 · Roundcube+1 · Roundcube Webmail+1

Class_Nzm · Publicado 2026-03-18 · Atualizado 2026-05-06 · CVE-2026-35545

Positive Technologies (AI Summary) · Pt

CVSS v2.0

8.5

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:P/A:N

Name of the Vulnerable Software and Affected Versions Roundcube Webmail versões anteriores a 1.5.15 e anteriores a 1.6.15

Description Uma falha existe no Roundcube Webmail que permite contornar o recurso de bloqueio de imagens remotas por meio de conteúdo SVG especialmente criado dentro de mensagens de e-mail. Essa falha pode potencialmente levar à divulgação de informações ou à violação do controle de acesso. O problema envolve o elemento animate utilizando atributos como fill, filter e stroke.

Recommendations Atualize o Roundcube Webmail para a versão 1.5.15 ou posterior. Atualize o Roundcube Webmail para a versão 1.6.15 ou posterior.

Correção

Enumeração de Fraquezas

CWE-669

Identificadores relacionados

BDU:2026-06325

CVE-2026-35545

GHSA-W846-74JR-76CV

MGASA-2026-0089

Produtos afetados

Red Os

Roundcube Webmail

Referências · 23

• https://github.com/roundcube/roundcubemail/commit/7ad62de184368bf42c0f522d1aacc030f5ddcc46 · Correção
• https://github.com/roundcube/roundcubemail/commit/9d18d524f3cc211003fc99e2e54eed09a2f3da88 · Correção
• https://github.com/roundcube/roundcubemail/commit/fe1320b199d3a2f58351bb699c9ed4316e73221b · Correção
• https://github.com/roundcube/roundcubemail/releases/tag/1.6.15 · Nota
• https://github.com/roundcube/roundcubemail/releases/tag/1.5.15 · Nota
• https://github.com/roundcube/roundcubemail/releases/tag/1.7-rc6 · Nota
• https://github.com/roundcube/roundcubemail · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-35545 · Aviso do Fabricante
• https://redos.red-soft.ru/support/secure/uyazvimosti/support/secure/uyazvimosti/uyazvimost-roundcubemail-cve-2026-35545-7.3 · Nota
• https://ubuntu.com/security/CVE-2026-35545 · Aviso do Fabricante
• https://bugs.mageia.org/show_bug.cgi?id=35302 · Nota
• https://security-tracker.debian.org/tracker/CVE-2026-35545 · Aviso do Fabricante
• https://osv.dev/vulnerability/MGASA-2026-0089 · Aviso do Fabricante
• https://redos.red-soft.ru/search/?iblock_id=24&q=CVE-2026-35545 · Nota
• https://roundcube.net/news/2026/03/29/security-updates-1.7-rc6-1.6.15-1.5.15 · Aviso do Fabricante