PT-2026-44369 · Roundcube · Roundcube

Guillaume Meunier · Publicado 2026-05-28 · Atualizado 2026-05-28 · CVE-2026-9818

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.7

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Roundcube (versões afetadas não especificadas)

Descrição O caminho de sanitização HTML para a renderização de mensagens permite URLs de loopback, localhost, RFC1918, link-local e ULA, mesmo quando o carregamento de conteúdo remoto está desativado. Um invasor remoto pode enviar um e-mail HTML que faz com que o navegador da vítima realize requisições a serviços locais ou de rede privada ao abrir a pré-visualização da mensagem.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Incomplete List of Disallowed Inputs

Enumeração de Fraquezas

CWE-184

Identificadores relacionados

CVE-2026-9818

Produtos afetados

Roundcube

Referências · 7

• https://github.com/roundcube/roundcubemail/commit/7b52353653a67e6073b97d70eb94047132b78556 · Correção
• https://github.com/roundcube/roundcubemail/releases/tag/1.6.16 · Correção
• https://github.com/roundcube/roundcubemail/releases/tag/1.7.1 · Correção
• https://github.com/roundcube/roundcubemail/commit/faf867432f51ebbe100382a70a9e3c042415ee1b · Correção
• https://t.me/cveNotify/165003 · Publicação no Telegram
• https://advisories.orangecyberdefense.com/advisories/163 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-9818 · Nota de Segurança