「Roundcube」に複数の脆弱性 - 更新を強く推奨

ウェブメールソフトウェア「Roundcube Webmail」に複数の脆弱性が明らかとなった。開発チームは修正版を提供しており、更新を強く推奨している。

現地時間2026年11月9日、脆弱性などに対処したセキュリティアップデート「同1.7.6」「同1.6.21」をリリースしたもの。アドバイザリで具体的なCVE番号には言及していないが、17件の修正を実施したという。

具体的には、添付ファイルの取得時に生じた「IMAPエラー」からの回復処理でオープンリダイレクトが生じる問題に対応。メッセージキャッシュ機能を有効化した環境において、パラメータに改行コードを含めることで「IMAPコマンド」を注入できる問題などを修正した。

「CSSプロキシ」と「サーバサイドリクエストフォージェリ（SSRF）」の対策をバイパスできる複数の問題に対応。特定のドメイン名やIPv6アドレスを利用することで、接続先の検証を回避できる問題を解消している。

メールのフィルタリングに利用される「Sieve」に関しては、ルールの演算子や修飾子を通じてスクリプトを注入できる問題を修正。フィルタリングルールを管理する「ManageSieve」では、外部サイトを経由した「GETリクエスト」によって、一部の破壊的な操作が引き起こされる問題が判明した。

（Security NEXT - 2026/11/10 ）ツイート