AVIS CERT-FR Date de publication : 19/10/2026

Multiples vulnérabilités dans Roundcube Webmail

Résumé

De multiples vulnérabilités ont été découvertes dans Roundcube Webmail. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, une falsification de requêtes côté serveur (SSRF) et une injection de code indirecte à distance (XSS).

Détail

Solutions

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Systèmes affectés

Roundcube Roundcube Webmail
Roundcube Webmail versions 1.7.x antérieures à 1.7.5
Roundcube Roundcube Webmail
Roundcube Webmail versions antérieures 1.6.20

Risques

Injection de code indirecte à distance (XSS)
Injection de requêtes illégitimes par rebond (CSRF)
Exécution de code arbitraire à distance
Falsification de requêtes côté serveur (SSRF)
Contournement de la politique de sécurité

Avis éditeurs

Bulletin de sécurité Roundcube security-updates-1.6.20-and-1.7.5 — 19/10/2026

Historique des révisions

19/10/2026 — Version initiale

Consulter le bulletin officiel sur cert.cyber.gouv.fr →

Contenu provenant de sources officielles (CERT-FR / CISA), reproduit tel quel (y compris en anglais pour CISA KEV) sans traduction ni ajout d'information non fournie par la source.