PT-2026-7086 · Roundcube+3 · Roundcube Webmail+3

Nullcathedral · Publicado 2026-01-01 · Atualizado 2026-05-08 · CVE-2026-25916

Positive Technologies (AI Summary) · Pt

CVSS v2.0

5.0

Média

Vetor base

AV:N/AC:L/Au:N/C:P/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Roundcube Webmail anteriores a 1.5.13 Versões do Roundcube Webmail anteriores a 1.6.13

Descrição Quando o recurso "Bloquear imagens remotas" está habilitado, o Roundcube Webmail falha ao bloquear elementos SVG feImage. Isso pode potencialmente permitir que conteúdo malicioso seja exibido aos usuários, apesar do recurso de bloqueio de imagens estar ativo.

Recomendações Atualize o Roundcube Webmail para a versão 1.5.13 ou posterior. Atualize o Roundcube Webmail para a versão 1.6.13 ou posterior.

Correção

RCE

Enumeração de Fraquezas

CWE-420

Identificadores relacionados

BDU:2026-07347

CVE-2026-25916

MGASA-2026-0065

OPENSUSE-SU-2026:20323-1

USN-8223-1

Produtos afetados

Linuxmint

Red Os

Roundcube Webmail

Ubuntu

Referências · 45

• https://github.com/roundcube/roundcubemail/commit/26d7677 · Nota
• https://github.com/roundcube/roundcubemail/releases/tag/1.6.14 · Nota
• https://advisories.mageia.org/MGASA-2026-0065.html · Nota de Segurança
• https://twitter.com/oss_security/status/2026073697094705303 · Publicação no Twitter
• https://ubuntu.com/security/CVE-2024-42010 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2024-38356 · Aviso do Fabricante
• https://roundcube.net/news/2026/02/08/security-updates-1.6.13-and-1.5.13 · Nota
• https://twitter.com/ThreatSynop/status/2020880487451934839 · Publicação no Twitter
• https://nullcathedral.com/posts/2026-02-08-roundcube-svg-feimage-remote-image-bypass · Nota
• https://bugzilla.suse.com/1255308 · Nota
• https://redos.red-soft.ru/search/?iblock_id=24&q=CVE-2026-25916 · Nota
• https://suse.com/security/cve/CVE-2025-68460 · Nota
• https://twitter.com/blackorbird/status/2020873229490143528 · Publicação no Twitter
• https://ubuntu.com/security/CVE-2026-26079 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2020780955867164932 · Publicação no Twitter