Falsification de requêtes côté serveur (SSRF) affectant Roundcube Webmail
Une vulnérabilité affectant Roundcube Webmail permettrait à un attaquant non authentifié de provoquer une falsification de requêtes côté serveur (SSRF) et une divulgation d'informations sur les systèmes affectés.
Description
Contexte technique et détails de la vulnérabilité
Roundcube Webmail est un client de messagerie web open source largement déployé. Ce produit est affecté par une vulnérabilité libellée CVE-2026-62643, résultant d'un assainissement insuffisant des feuilles de style CSS contenues dans les messages électroniques au format HTML. Son exploitation permettrait à un attaquant non authentifié d'envoyer un courriel spécialement conçu contenant des liens CSS vers des hôtes internes afin de provoquer une falsification de requêtes côté serveur (SSRF) ou une divulgation d'informations. Elle résulte d'une correction incomplète des vulnérabilités CVE-2026-35540 et CVE-2026-48843. Elle est classée haute avec un score de sévérité de 7.2 selon le CVSS V3.1.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Falsification de requêtes côté serveur (SSRF) ;
- Divulgation d'informations sur le réseau interne ;
- Atteinte à la confidentialité des données.
Systèmes affectés
Produits, composants et versions concernés
- Roundcube Webmail versions 1.6.0 à 1.6.16 ;
- Roundcube Webmail versions 1.7.0 à 1.7.1.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Mettre à jour Roundcube Webmail vers les versions 1.6.17, 1.7.2 ou supérieures.
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.