ウェブメール「Roundcube」に複数脆弱性 - アップデートが公開

ウェブメールクライアント「Roundcube Webmail」に複数の脆弱性が明らかとなった。最新版へアップデートするよう呼びかけられている。

開発チームが現地時間2026年5月24日、セキュリティアップデートとなる「同1.7.1」「同1.6.16」をリリースした。最近報告された脆弱性に対処したという。

アップデートの告知においてCVE番号などは示されていないが、格納型クロスサイトスクリプティング（XSS）やHTML、CSSインジェクションが可能となる脆弱性を修正。

HTMLサニタイザにおけるCSSインジェクション対策が回避される問題やリモート画像のブロック機能がバイパスされる脆弱性に対応している。

「virtuser_query」プラグインにおいて、認証を必要とすることなくSQLインジェクションが可能となる脆弱性や、特定ローカルアドレスのURLを用いたサーバサイドリクエストフォージェリ（SSRF）の脆弱性なども解消したという。

開発チームは利用者に対し、更新内容を確認した上で、最新版にアップデートすることを強く推奨している。

（Security NEXT - 2026/05/26 ）ツイート