ウェブメール「Roundcube」にアップデート - 複数脆弱性を解消

ウェブメールソフトウェア「Roundcube Webmail」のセキュリティアップデートがリリースされた。最近報告された複数の脆弱性へ対処したという。

開発チームは現地時間2026年8月9日、アップデートとなる「Roundcube Webmail 1.7.3」「同1.6.18」を公開した。利用者に最新版へ更新するよう呼びかけている。

アドバイザリにおいてCVE番号への言及はないが、セキュリティに関する11件の修正を実施したという。

URLの処理におけるリモートコンテンツのブロッキングをバイパスできる問題や、「markasjunk」プラグインの「cmd_learn」ドライバにおいて、リモートよりコードを実行されるおそれがある脆弱性へ対処した。

メール検索処理では、「LITERAL+」のバイト数の同期ずれを利用したIMAPコマンドインジェクションの問題に対応。フィルタルール名を利用して「managesieve_disabled_actions」の設定をバイパスし、任意のスクリプトを注入できる問題を修正している。

またローカルアドレスを用いて制限を回避できるサーバサイドリクエストフォージェリ（SSRF）や、LDAPフィルタインジェクションなどの脆弱性が判明している。

アドレスブックへの追加操作におけるストア型クロスサイトスクリプティング（XSS）の脆弱性、「SVG」の一部要素におけるCSSサニタイズ処理が回避される問題なども明らかとなっており、修正が行われている。

（Security NEXT - 2026/08/10 ）ツイート