Multiples vulnérabilités affectant Roundcube Webmail
Plusieurs vulnérabilités ont été découvertes dans Roundcube Webmail. Elles permettent à un acteur malveillant de réaliser des injections SQL sans authentification, de provoquer des falsifications de requêtes côté serveur (SSRF), de divulguer des informations sensibles et d'injecter du code arbitraire.
Description
Contexte technique et détails de la vulnérabilité
Roundcube Webmail est un client de messagerie web open source permettant aux utilisateurs d'accéder à leurs courriels et de les gérer depuis un navigateur. Ce client de messagerie est affecté par plusieurs vulnérabilités libellées comme suit : CVE-2026-48842 : vulnérabilité résultant d'un contournement du mécanisme d'échappement des barres obliques inverses dans la fonction preg_replace() de l'extension virtuser_query. Son exploitation permettrait à un acteur malveillant non authentifié de réaliser des injections SQL sur les systèmes affectés. Elle est classée haute avec un score de sévérité de 8.1 selon le CVSS v3.1. CVE-2026-48843 : vulnérabilité résultant d'une validation insuffisante des feuilles de style (CSS) intégrées aux messages au format HTML. Son exploitation permettrait à un attaquant non authentifié de déclencher des falsifications de requêtes côté serveur (SSRF) ou de divulguer des informations sensibles lorsqu'un utilisateur consulte un courriel malveillant. Elle est classée haute avec un score de sévérité de 7.2 selon le CVSS v3.1. CVE-2026-48844 : vulnérabilité due à la présence d'une logique d'évaluation dynamique de code non sécurisée dans l'option autovalues du module LDAP. Son exploitation permettrait à un acteur malveillant authentifié d'injecter du code arbitraire sur les systèmes affectés. Elle est classée haute avec un score de sévérité de 7.5 selon le CVSS v3.1.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Atteinte à la confidentialité et à la disponibilité des données ;
- Injection de code ;
- Atteinte à l'intégrité du système.
Systèmes affectés
Produits, composants et versions concernés
- Roundcube Webmail versions 1.6.x antérieures à 1.6.16 ;
- Roundcube Webmail versions 1.7.x antérieures à 1.7.1.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Mettre à jour Roundcube Webmail vers la dernière version stable.
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.