ウェブメール「Roundcube」に複数脆弱性 - アップデートを公開

ウェブメールソフトウェア「Roundcube」の開発チームは、セキュリティアップデートをリリースした。利用者に更新するよう強く求めている。

現地時間2026年3月18日付けでセキュリティアドバイザリを公開したもの。CVE番号などは示していないが、報告を受けたセキュリティに関する8件の問題に対処したという。

具体的には、セッションハンドラにおけるデシリアライズ処理に起因し、認証を必要とすることなく任意のファイルを書き込むことが可能となる脆弱性のほか、旧パスワードを入力することなく、パスワードを変更できる問題に対応した。

さらにメール検索における「IMAPインジェクション」および「クロスサイトリクエストフォージェリ（CSRF）」の問題を修正。添付ファイルのプレビューにおけるクロスサイトスクリプティング（XSS）などを解消している。

このほか、リモートの画像ファイル表示をブロックする機能を回避される問題や、サーバサイドリクエストフォージェリ（SSRF）などスタイルシートの処理に起因する問題などに対処した。

これら問題は「同1.6.14」「同1.5.14」にて解消されているとし、利用者に対してすみやかにアップデートを実施するよう強く推奨している。

（Security NEXT - 2026/03/19 ）ツイート