ウェブメール「Roundcube」、アップデートで複数脆弱性を修正

ウェブメールクライアント「Roundcube Webmail」の開発チームは、複数の脆弱性を解消したセキュリティアップデートを公開した。

開発チームでは、現地時間2026年7月5日、セキュリティアップデートとなる「同1.7.2」「同1.6.17」をリリース。利用者に対して変更内容などを確認したうえでアップデートを実施するよう求めている。

具体的には、添付ファイルの検証警告画面において、MIMEタイプが適切にエスケープされず、格納型クロスサイトスクリプティング（XSS）攻撃が可能となる脆弱性「CVE-2026-54432」を修正した。

プレーンテキストのレンダリング処理において、ユーザーによるクリック操作を必要とすることなく、スクリプトを実行させることが可能となる格納型XSS脆弱性「CVE-2026-54433」に対応している。

さらにアドバイザリでCVE番号は示されていないが、TNEF形式のファイルデコーダにおいて無限ループが発生する問題や、細工したTNEFファイルによりサービス拒否が生じる脆弱性を解消した。

またパスワードプラグインでは、セッションに注入されたユーザー名を用いる複数の脆弱性を修正。さらに特定のローカルアドレスのURLを用いたサーバサイドリクエストフォージェリ（SSRF）のバイパスについて、あらたに2件が判明し、修正を行っている。

（Security NEXT - 2026/07/06 ）ツイート