ウェブメール「Roundcube」にセキュリティ更新 - 12件の修正

ウェブメールソフト「Roundcube」の開発チームは現地時間2026年9月6日、セキュリティアップデートをリリースした。利用者にアップデートを強く推奨している。

今回のアップデートは、複数の脆弱性やセキュリティに関する問題へ対策を講じたもの。CVE番号などへの言及はないが、あわせて12件の修正を実施したという。

具体的には、TNEF形式のメール処理において添付ファイルURLにタグを注入することで利用者のクリックなしに実行されるストア型クロスサイトスクリプティング（XSS）の脆弱性に対応。またHTMLエディタにおける「XSS」に対処した。

また「CSS」において意図しない宣言やプロパティを挿入できる脆弱性を修正。CSSエスケープやSVG SMILを利用してリモートコンテンツの遮断を回避できる問題も解消している。

セキュリティ対策をバイパスできる検証不備や、メールヘッダを注入できる問題、SQLアドレス帳において、別ユーザーの連絡先グループのメンバー構成を追加、削除できるアクセス制御の不備などに対応した。

開発チームは、修正内容などを確認したうえで、最新版へ更新するよう強く呼びかけている。

（Security NEXT - 2026/09/07 ）ツイート