遠端 Debian 13 主機安裝的套件會受到 dsa-6579 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6579-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2026 年 10 月 23 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件 ： roundcube CVE ID ： CVE-2026-113386 CVE-2026-114714 CVE-2026-114715 CVE-2026-114716 CVE-2026-114717 CVE-2026-114718 CVE-2026-114719 CVE-2026-114720 CVE-2026-114721 CVE-2026-114722 CVE-2026-114723 CVE-2026-114724 CVE-2026-114725 CVE-2026-114726 CVE-2026-114727 CVE-2026-114728 CVE-2026-114729 CVE-2026-114730 CVE-2026-114731 CVE-2026-114732 Debian 錯誤 ： 1151279

    在 roundcube（一種基於 AJAX 的 IMAP 伺服器可剝皮網路郵件解決方案）中發現多個漏洞，這可能導致 IMAP 命令插入、跨網站指令碼、繞過 SSRF、電子郵件標頭插入、CSS 屬性插入、繞過遠端內容封鎖、資訊洩露或權限提升。

    針對穩定的發行版本 (trixie)，這些問題已在 1.6.20+dfsg-0+deb13u1 版本中修復。

    建議您升級 roundcube 套件。

    如需有關 roundcube 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/roundcube

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Debian 13 主机上存在安装的程序包，该程序包受到 dsa-6579 公告中提及的多个漏洞的影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6579-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2026 年 10 月 23 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：roundcube CVE ID： CVE-2026-113386 CVE-2026-114714 CVE-2026-114715 CVE-2026-114716 CVE-2026-114717 CVE-2026-114718 CVE-2026-114719 CVE-2026-114720 CVE-2026-114721 CVE-2026-114722 CVE-2026-114723 CVE-2026-114724 CVE-2026-114725 CVE-2026-114726 CVE-2026-114727 CVE-2026-114728 CVE-2026-114729 CVE-2026-114730 CVE-2026-114731 CVE-2026-114732 Debian 缺陷：1151279

    在 IMAP 服务器基于 AJAX 的可换肤 webmail 解决方案 roundcube 中发现多个漏洞，可导致 IMAP 命令注入、跨站脚本、SSRF 绕过、电子邮件标头注入、CSS 属性注入、远程内容阻止绕过、信息泄露或权限升级。

    对于稳定发行版本 (trixie)，已在版本 1.6.20+dfsg-0+deb13u1 中修复这些问题。

    建议您升级 roundcube 程序包。

    如需了解 roundcube 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/roundcube

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Roundcube Webmail 之前 1.6.20 和 1.7.x 之前 1.7.5 版本受到 IMAP 命令注入的影响。经身份验证的远程攻击者可利用此问题，通过注入 mail/headers 和 mail/viewsource 操作的 _uid 参数中的 CRLF 序列，执行任意 IMAP 命令。（CVE-2026-113386）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Roundcube 之前和1.7.x之前1.7.5的 Webmail 1.6.20 都受到 IMAP 命令插入的影響。遠端驗證的攻擊者可以透過插入 mail/headers 和 mail/viewsource 動作的 _uid 參數中的 CRLF 序列來利用此漏洞，以執行任意 IMAP 命令。（CVE-2026-113386）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

リモートのDebian 13ホストには、dsa-6579アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian セキュリティアドバイザリ DSA-6579-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2026 年 10 月 23 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ:roundcube CVE ID: CVE-2026-113386 CVE-2026-114714 CVE-2026-114715 CVE-2026-114716 CVE-2026-114717 CVE-2026-114718 CVE-2026-114719 CVE-2026-114720 CVE-2026-114721 CVE-2026-114722 CVE-2026-114723 CVE-2026-114724 CVE-2026-114725 CVE-2026-114726 CVE-2026-114727 CVE-2026-114728 CVE-2026-114729 CVE-2026-114730 CVE-2026-114731 CVE-2026-114732 Debian バグ:1151279

    スキン変更が可能な IMAP サーバー向け AJAX ベースの Web メールソリューションである roundcube に、IMAP コマンドインジェクション、クロスサイトスクリプティング、SSRF バイパス、メールヘッダーインジェクション、css プロパティインジェクション、リモートコンテンツブロックバイパス、情報漏洩または権限昇格を引き起こす可能性がある、複数の脆弱性が発見されました。

    安定版 (stable) ディストリビューション (trixie) では、これらの問題はバージョン 1.6.20+dfsg-0+deb13u1 で修正されています。

    お使いの roundcube パッケージをアップグレードすることを推奨します。

    roundcube の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
    https://security-tracker.debian.org/tracker/roundcube

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 1.6.20 より前および 1.7.5 より前の 1.7.x の Roundcube Webmail は、IMAP コマンドインジェクションの影響を受けます。認証されたリモートの攻撃者が、これを悪用して、mail/headers および mail/viewsource アクションの _uid パラメーターに注入された CRLF シーケンスを通じて、任意の IMAP コマンドを実行する可能性があります。(CVE-2026-113386)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:22195-1 アドバイザリで言及されています。

    roundcubemail の変更点:

    1.6.20 に更新:

      これは、バージョン 1.6 の Roundcube Webmail へのセキュリティ更新です。
      これは、最近報告されたセキュリティ脆弱性の修正を提供します:

      - mail/headers および mail/viewsource アクションのパラメーター_uid CRLF を介した IMAP コマンドインジェクションを修正します。Wahab NeoX K により報告されました。
      - エイリアスログインが IMAP ホストによって認定されないバグを修正します。Milan Hoppe 氏は報告しています。
      - サイズ制限を CSS プロキシコンテンツ処理に追加します。Milan Hoppe 氏により報告されています。
      - NAT64 64:ff9b::/96 を介した SSRF フィルター(is_local_url())のバイパスを修正します。dizconnect による報告。
      - Milan Hoppe 氏による報告によると、属性による SVG SMIL を介したリモートコンテンツブロックバイパスを修正します。
      - FuncIRI 属性の CSS エスケープを介したリモートコンテンツブロックバイパスが(再度)修正されます。Milan Hoppe 氏による報告。
      - 画像のサイズ変更時に、安全で極めて安全でない添付ファイルを ImageMagick に渡すことを修正します。Paulos Yibelo 氏による報告
      - Bounce(再送信)アクションでの From display-name を介したメールヘッダーインジェクションを修正します。Clay が報告しました。
      - References/In-Reply-To/Message-ID/From パラメーターによるメールヘッダーインジェクションを修正します。Sunil Tripathy 氏による報告。
      - rcube_session::unserialize() における、! プレフィックス付きのセッションキーによるオブジェクトインジェクションプリミティブを修正します。Oli Z 氏は報告しました。
      - サムネイル生成中の GD フォールバックによる ImageMagick リソース制限のバイパスを修正します。GoldenSW による報告。
      - at-rules を使用する HTML メッセージの CSS スコーピングのバイパスを修正します。GoldenSW により報告されました。
      - Squirt1e、Atum、N0b0dy、および Gh0u1L5 により報告された、廃止済みのアクションエイリアスが disabled_actions 設定をバイパスするバグを修正します。
      - mail/mark アクション_flagパラメーター内の CRLF を介した IMAP コマンドインジェクションを修正します。これは、Squirt1e、Atum、N0b0dy、および Gh0u1L5 により報告されています。
      - Squirt1e、Atum、N0b0dy、および Gh0u1L5 により報告された、mark-as-junk アクションでの CSRF 検証バイパスを修正します。
      - Squirt1e、Atum、N0b0dy、および Gh0u1L5 により報告された、パスワードドライバーのエラー応答の処理における XSS の問題を修正します。
      - 添付ファイルとして転送されたメッセージの件名を通じたメールヘッダーインジェクションを修正します。これは、Squirt1e、Atum、N0b0dy、および Gh0u1L5 により報告されます。
      - インラインイメージデータ URI のメディアタイプを介したメールヘッダーインジェクションを修正します。これは、Squirt1e、Atum、N0b0dy、および Gh0u1L5 により報告されています。
      - パスワード Modoboa ドライバーが別のアカウントのパスワードを変更する可能性があるバグを修正します。これは、Squirt1e、Atum、N0b0dy、および Gh0u1L5 により報告されています。
      - Squirt1e、Atum、N0b0dy、および Gh0u1L5 により報告されている、SquirrelMail インポートファイルパスでのログイン名の安全でない使用を修正します。

      このバージョンは安定版であると見なされており、Roundcube のすべての実稼働インストールをこのバージョンで更新することが推奨されます。更新する前に、データのバックアップを行ってください！

    1.6.19 に更新:

      これは、バージョン 1.6 の Roundcube Webmail へのセキュリティ更新です。
      これは、最近報告されたセキュリティ脆弱性の修正を提供します:

      - Horizon3.ai の Zach Hanley 氏が報告する、エンコードされていないアンパサンドの放出による CSS 宣言のスマグリングを修正します。
      - 本文の背景属性を通じた CSS プロパティインジェクションを修正します。zenithhostingevan 氏により報告されています。
      - 件名フィールドのベア CR を介したメールヘッダーインジェクションを修正します。CVE-Hunter-Leo 氏による報告。
      - 受信者の表示名の C-escape \r を通じたメールヘッダーの注入を修正します。dogeshark による報告 + ID の組織フィールドを通じたメールヘッダーの注入を修正します。dogeshark による報告 + 添付ファイルの URL の TNEF MIME タグ注入を介したゼロクリックで保存された XSS を修正します(nakko による報告) + テキスト/エンリッチされたパートコンテンツを使用する HTML エディターの XSS を修正します。Joshua Rogers 氏による報告 + SQL アドレス帳の連絡先グループメンバーシップ(追加/削除)におけるクロスユーザーアクセスを修正します。 Joshua Rogers 氏による報告 + スタイルシート URL での末尾のドットの FQDN を通じた is_local_url() バイパスを修正します。 nept1337 による報告 + FuncIRI 属性での CSS エスケープを通じたリモートコンテンツブロックのバイパスを修正します。 neoxed による報告。 + SVG SMIL src アニメーションによるリモートコンテンツブロッカーのバイパスを修正します + 16 進数 IPv6 がマッピングされた IPv4 アドレスを介した Roundcube CSS プロキシでの SSRF バイパスを修正します。faceless0x7 および Harish Annavisamy 氏による報告。

      このバージョンは安定版であると見なされており、Roundcube のすべての実稼働インストールをこのバージョンで更新することが推奨されます。更新する前に、データのバックアップを行ってください！

    1.6.18 [boo#1275552] に更新してください:

      + パスワード:致命的なエラークラス「Zxcvbn」が見つからないのを修正します(#10274) + TNEF デコーダーの切り捨てられた圧縮 RTF の領域外文字列読み取りを修正します(#10269) + セキュリティ:css プロキシによりプロキシされるコンテンツの基本的な検証を追加します [CVE-2026-74998] [boo#1275324] + セキュリティ: 100.64.0.0/10 および fe80::/10 ネットを使用した特定のローカルアドレス URL を介した SSRF バイパスを修正します [CVE-2026-75006] [boo#1275319] + セキュリティ:is_local_url() チェックを回避するさまざまな形式の nip.io/sslip.io ホスト名を介した SSRF フィルターバイパスを修正します [CVE-2026-75006] [boo#1275319] + セキュリティ:FuncIRI 属性の閉じられていない url() を介したリモートコンテンツブロックバイパスを修正 [CVE-2026-75003] [boo#1275320] + セキュリティ:search_filterへのエスケープされていない %u/%fu/%d 置換を介した LDAP フィルターインジェクションを修正 [CVE-2026-75007] [boo#1275318] + セキュリティ:フィルタールール名のバイパスを介した任意の Sieve スクリプトインジェクションを修正managesieve_disabled_actions [CVE-2026-75004] [boo#1275445] + セキュリティ:markasjunk プラグインの cmd_learn ドライバーを介した RCE を修正 [CVE-2026-74997] [boo#1275325] + セキュリティ:メール検索およびリテラルによる IMAP コマンドインジェクションを修正します + バイトカウント同期解除 [CVE-2026-75002] [boo#1275321] + セキュリティ:ユーザー管理のホストに対する認証トークンのパスワードの modoboa ドライバー漏洩を修正します [CVE-2026-75010] [boo#1275317] + セキュリティ:アドレス帳に追加のアクションで保存された XSS を修正します [CVE-2026-74999] [boo#1275323] + セキュリティ:属性による SVG アニメーションを介した HTML/CSS サニタイズバイパスを修正します [CVE-2026-75000] [boo#1275322]

    1.6.17 に更新:

      + Enigma:HKP v1 プロトコルを使用した自動公開鍵検索(インポート)をサポートします(#5314) + Enigma:Kolab WOAT サポート(#8626) + セキュリティ:TNEF(winmail.dat)デコーダーの無限ループを修正します(#10193)[CVE-2026-62642] [boo#1271475] + セキュリティ:セッション注入されたユーザー名を使用するパスワードプラグインのさまざまな脆弱性を修正します [CVE-2026-62644] [boo#1271474] + セキュリティ:添付ファイル検証警告ページでエスケープされていない添付ファイルの MIME タイプを介して保存された XSS を修正します [CVE-2026-54432] [boo#1271471] + セキュリティ:特定のローカルアドレス URL を介した SSRF バイパスを修正します - 2 つの新しいケース [CVE-2026-62643] [boo#1271477] + セキュリティ:平文レンダリングのゼロクリックで保存された XSS を修正します [CVE-2026-54433] [boo#1271472] + セキュリティ:TNEF(winmail.dat)ファイルの細工された圧縮 RTF サイズを介した DoS を修正します [CVE-2026-62641] [boo#1271476]


    古い更新に追加された追加の参照:(bsc#1243915、 CVE-2025-49113)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote Fedora 45 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-7002464a52 advisory.

    ## Version 1.7.5

    - Installer: Add possibility to detsroy the installer session/cookie
    - Enigma: Fix db_sync() never restoring keyring files (#10343)
    - Markasjunk: Skip messages whose %s/%h values start with '-' (#10344)
    - Password: Replace SQL query placeholders in a single pass (#10345)
    - Fix exit code of the healthcheck.sh script (#10337)
    - Security: Fix IMAP command injection via CRLF in `_uid` parameter of mail/headers and mail/viewsource     action
    - Security: Fix bug where an alias login wasn't qualified by IMAP host
    - Security: Add a size limit to the CSS proxy content processing
    - Security: Fix SSRF filter (is_local_url()) bypass via NAT64 64:ff9b::/96
    - Security: Fix remote content blocking bypass via SVG SMIL `by` attribute
    - Security: Fix remote content blocking bypass via CSS escapes in FuncIRI attributes (again)
    - Security: Fix passing potentally unsafe attachment content into ImageMagick on image resize
    - Security: Fix mail header injection via the From display-name in the Bounce (resend) action
    - Security: Fix mail header injection via References/In-Reply-To/Message-ID/From parameters
    - Security: Fix object injection primitive in rcube_session::unserialize() via !-prefixed session keys
    - Security: Fix ImageMagick resource limits bypass by GD fallback during thumbnail generation
    - Security: Fix CSS scoping bypass in HTML messages using at-rules
    - Security: Fix bug where deprecated action aliases bypassed `disabled_actions` setting
    - Security: Fix IMAP command injection via CRLF in `_flag` parameter of mail/mark action
    - Security: Fix CSRF validation bypass in the mark-as-junk action
    - Security: Fix XSS issue in handling of password driver error responses
    - Security: Fix mail header injection via subject of a message forwarded as attachment
    - Security: Fix mail header injection via media type in an inline image data URI
    - Security: Fix bug where Password Modoboa driver could change password for another account
    - Security: Fix unsafe use of a login name in SquirrelMail import file path




Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Debian 13 host has packages installed that are affected by multiple vulnerabilities as referenced in the dsa-6579 advisory.

    - -------------------------------------------------------------------------     Debian Security Advisory DSA-6579-1                   security@debian.org     https://www.debian.org/security/                     Salvatore Bonaccorso     October 23, 2026                      https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    Package        : roundcube     CVE ID         : CVE-2026-113386 CVE-2026-114714 CVE-2026-114715 CVE-2026-114716                      CVE-2026-114717 CVE-2026-114718 CVE-2026-114719 CVE-2026-114720                      CVE-2026-114721 CVE-2026-114722 CVE-2026-114723 CVE-2026-114724                      CVE-2026-114725 CVE-2026-114726 CVE-2026-114727 CVE-2026-114728                      CVE-2026-114729 CVE-2026-114730 CVE-2026-114731 CVE-2026-114732     Debian Bug     : 1151279

    Multiple vulnerabilities were discovered in roundcube, a skinnable AJAX     based webmail solution for IMAP servers, which could result in IMAP     command injection, cross-site scripting, SSRF bypass, email header     injection, css property injection, remote content blocking bypass,     information disclosure or privilege escalation.

    For the stable distribution (trixie), these problems have been fixed in     version 1.6.20+dfsg-0+deb13u1.

    We recommend that you upgrade your roundcube packages.

    For the detailed security status of roundcube please refer to its     security tracker page at:
    https://security-tracker.debian.org/tracker/roundcube

    Further information about Debian Security Advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://www.debian.org/security/

    Mailing list: debian-security-announce@lists.debian.org

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Roundcube Webmail before 1.6.20 and 1.7.x before 1.7.5 are affected by IMAP command injection. A remote     authenticated attacker can exploit this via CRLF sequences injected into the _uid parameter of the     mail/headers and mail/viewsource actions to execute arbitrary IMAP commands. (CVE-2026-113386)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote openSUSE 16 host has a package installed that is affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:22195-1 advisory.

    Changes in roundcubemail:

    Update to 1.6.20:

      This is a security update to the version 1.6 of Roundcube Webmail.
      It provides fixes to recently reported security vulnerabilities:

      - Fix IMAP command injection via CRLF in _uid parameter of mail/headers and mail/viewsource action,     reported by Wahab NeoX K.
      - Fix bug where an alias login wasn't qualified by IMAP host, reported by Milan Hoppe.
      - Add a size limit to the CSS proxy content processing, reported by Milan Hoppe.
      - Fix SSRF filter (is_local_url()) bypass via NAT64 64:ff9b::/96, reported by dizconnect.
      - Fix remote content blocking bypass via SVG SMIL by attribute, reported by Milan Hoppe.
      - Fix remote content blocking bypass via CSS escapes in FuncIRI attributes (again), reported by Milan     Hoppe.
      - Fix passing potentally unsafe attachment content into ImageMagick on image resize, reported by Paulos     Yibelo
      - Fix mail header injection via the From display-name in the Bounce (resend) action, reported by Clay.
      - Fix mail header injection via References/In-Reply-To/Message-ID/From parameters, reported by Sunil     Tripathy.
      - Fix object injection primitive in rcube_session::unserialize() via !-prefixed session keys, reported     by Oli Z.
      - Fix ImageMagick resource limits bypass by GD fallback during thumbnail generation, reported by     GoldenSW.
      - Fix CSS scoping bypass in HTML messages using at-rules, reported by GoldenSW.
      - Fix bug where deprecated action aliases bypassed disabled_actions setting, reported by Squirt1e, Atum,     N0b0dy, and Gh0u1L5.
      - Fix IMAP command injection via CRLF in _flag parameter of mail/mark action, reported by Squirt1e,     Atum, N0b0dy, and Gh0u1L5.
      - Fix CSRF validation bypass in the mark-as-junk action, reported by Squirt1e, Atum, N0b0dy, and     Gh0u1L5.
      - Fix XSS issue in handling of password driver error responses, reported by Squirt1e, Atum, N0b0dy, and     Gh0u1L5.
      - Fix mail header injection via subject of a message forwarded as attachment, reported by Squirt1e,     Atum, N0b0dy, and Gh0u1L5.
      - Fix mail header injection via media type in an inline image data URI, reported by Squirt1e, Atum,     N0b0dy, and Gh0u1L5.
      - Fix bug where Password Modoboa driver could change password for another account, reported by Squirt1e,     Atum, N0b0dy, and Gh0u1L5.
      - Fix unsafe use of a login name in SquirrelMail import file path, reported by Squirt1e, Atum, N0b0dy,     and Gh0u1L5.

      This version is considered stable and we recommend to update all productive       installations of Roundcube with it. Please do backup your data before updating!

    Update to 1.6.19:

      This is a security update to the version 1.6 of Roundcube Webmail.
      It provides fixes to recently reported security vulnerabilities:

      - Fix CSS declaration smuggling via un-encoded ampersand emission, reported by Zach Hanley of     Horizon3.ai
      - Fix CSS property injection via body background attribute, reported by zenithhostingevan
      - Fix email header injection via bare CR in the subject field, reported by CVE-Hunter-Leo
      - Fix email header injection via C-escape \r in the recipient display name, reported by dogeshark       + Fix email header injection via identity's organization field, reported by dogeshark       + Fix zero-click stored XSS via TNEF MIME tag injection in the attachment URL, reported by nakko       + Fix XSS in the HTML editor using text/enriched part content, reported by Joshua Rogers       + Fix cross-user access in contact group membership (add/remove) in the SQL address book, reported by     Joshua Rogers       + Fix is_local_url() bypass via trailing-dot FQDN in stylesheet URL, reported by nept1337       + Fix remote content blocking bypass via CSS escapes in FuncIRI attributes, reported by neoxed       + Fix remote-content blocker bypass via SVG SMIL src animation       + Fix SSRF bypass in Roundcube CSS proxy via hexadecimal IPv6-mapped IPv4 addresses, reported by     faceless0x7 and Harish Annavisamy

      This version is considered stable and we recommend to update all productive       installations of Roundcube with it. Please do backup your data before updating!

    Update to 1.6.18 [boo#1275552]:

      + Password: Fix fatal error Class 'Zxcvbn' not found (#10274)       + Fix out-of-bounds string reads on truncated compressed-RTF in the TNEF decoder (#10269)       + Security: Add basic validation for content proxied by the css proxy [CVE-2026-74998] [boo#1275324]       + Security: Fix SSRF bypass via specific local address URLs using 100.64.0.0/10 and fe80::/10 nets     [CVE-2026-75006] [boo#1275319]       + Security: Fix SSRF filter bypass via various forms of nip.io/sslip.io hostnames evading is_local_url()     check [CVE-2026-75006] [boo#1275319]       + Security: Fix remote content blocking bypass via unclosed url() in a FuncIRI attribute     [CVE-2026-75003] [boo#1275320]       + Security: Fix LDAP filter injection via unescaped %u/%fu/%d substitution into the search_filter     [CVE-2026-75007] [boo#1275318]       + Security: Fix arbitrary Sieve script injection via a filter rule name bypassing     managesieve_disabled_actions [CVE-2026-75004] [boo#1275445]       + Security: Fix RCE via cmd_learn driver of markasjunk plugin [CVE-2026-74997] [boo#1275325]       + Security: Fix IMAP command injection via mail search and LITERAL+ byte-count desynchronization     [CVE-2026-75002] [boo#1275321]       + Security: Fix password's modoboa driver leak of an authentication token to a user-controlled host     [CVE-2026-75010] [boo#1275317]       + Security: Fix stored XSS in Add to address book action [CVE-2026-74999] [boo#1275323]       + Security: Fix HTML/CSS sanitization bypass via SVG animate by attribute [CVE-2026-75000] [boo#1275322]

    Update to 1.6.17:

      + Enigma: Support automatic public key lookup (import) using HKP v1 protocol (#5314)       + Enigma: Kolab WOAT Support (#8626)       + Security: Fix an infinite loop in TNEF (winmail.dat) decoder (#10193) [CVE-2026-62642] [boo#1271475]       + Security: Fix various vulnerabilities in the password plugin using session-injected username     [CVE-2026-62644] [boo#1271474]       + Security: Fix stored XSS via unescaped attachment MIME type on the attachment-validation warning page     [CVE-2026-54432] [boo#1271471]       + Security: Fix SSRF bypass via specific local address URLs - two new cases [CVE-2026-62643]     [boo#1271477]       + Security: Fix zero-click stored XSS in plain-text rendering [CVE-2026-54433] [boo#1271472]       + Security: Fix DoS via crafted compressed-RTF size in the TNEF (winmail.dat) file [CVE-2026-62641]     [boo#1271476]


    Additional references added to older update:  (bsc#1243915, CVE-2025-49113)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Fedora 44 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-2aba9ce8fc advisory.

    ## Version 1.7.5

    - Installer: Add possibility to detsroy the installer session/cookie
    - Enigma: Fix db_sync() never restoring keyring files (#10343)
    - Markasjunk: Skip messages whose %s/%h values start with '-' (#10344)
    - Password: Replace SQL query placeholders in a single pass (#10345)
    - Fix exit code of the healthcheck.sh script (#10337)
    - Security: Fix IMAP command injection via CRLF in `_uid` parameter of mail/headers and mail/viewsource     action
    - Security: Fix bug where an alias login wasn't qualified by IMAP host
    - Security: Add a size limit to the CSS proxy content processing
    - Security: Fix SSRF filter (is_local_url()) bypass via NAT64 64:ff9b::/96
    - Security: Fix remote content blocking bypass via SVG SMIL `by` attribute
    - Security: Fix remote content blocking bypass via CSS escapes in FuncIRI attributes (again)
    - Security: Fix passing potentally unsafe attachment content into ImageMagick on image resize
    - Security: Fix mail header injection via the From display-name in the Bounce (resend) action
    - Security: Fix mail header injection via References/In-Reply-To/Message-ID/From parameters
    - Security: Fix object injection primitive in rcube_session::unserialize() via !-prefixed session keys
    - Security: Fix ImageMagick resource limits bypass by GD fallback during thumbnail generation
    - Security: Fix CSS scoping bypass in HTML messages using at-rules
    - Security: Fix bug where deprecated action aliases bypassed `disabled_actions` setting
    - Security: Fix IMAP command injection via CRLF in `_flag` parameter of mail/mark action
    - Security: Fix CSRF validation bypass in the mark-as-junk action
    - Security: Fix XSS issue in handling of password driver error responses
    - Security: Fix mail header injection via subject of a message forwarded as attachment
    - Security: Fix mail header injection via media type in an inline image data URI
    - Security: Fix bug where Password Modoboa driver could change password for another account
    - Security: Fix unsafe use of a login name in SquirrelMail import file path




Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名前	製品	ファミリー	公開日	更新日	深刻度
371198	Debian dsa-6579：roundcube - 安全性更新	Nessus	Debian Local Security Checks	2026/10/23	2026/11/4	high
371198	Debian DSA-6579：roundcube - 安全更新	Nessus	Debian Local Security Checks	2026/10/23	2026/11/4	high
367849	Linux Distros 未修补的漏洞：CVE-2026-113386	Nessus	Misc.	2026/10/20	2026/10/30	high
367849	Linux Distros 未修補弱點：CVE-2026-113386	Nessus	Misc.	2026/10/20	2026/10/30	high
371198	Debian dsa-6579:roundcube - セキュリティ更新	Nessus	Debian Local Security Checks	2026/10/23	2026/11/4	high
367849	Linux Distros のパッチ未適用の脆弱性: CVE-2026-113386	Nessus	Misc.	2026/10/20	2026/10/30	high
374751	openSUSE 16 セキュリティ更新:roundcubemail(openSUSE-SU-2026:22195-1)	Nessus	SuSE Local Security Checks	2026/11/1	2026/11/2	critical
376321	Fedora 45 : roundcubemail (2026-7002464a52)	Nessus	Fedora Local Security Checks	2026/11/5	2026/11/5	high
371198	Debian dsa-6579 : roundcube - security update	Nessus	Debian Local Security Checks	2026/10/23	2026/11/4	high
367849	Linux Distros Unpatched Vulnerability : CVE-2026-113386	Nessus	Misc.	2026/10/20	2026/10/30	high
374751	openSUSE 16 Security Update : roundcubemail (openSUSE-SU-2026:22195-1)	Nessus	SuSE Local Security Checks	2026/11/1	2026/11/2	critical
376336	Fedora 44 : roundcubemail (2026-2aba9ce8fc)	Nessus	Fedora Local Security Checks	2026/11/5	2026/11/5	high

検出

プラグインの検索

high

high

high

high

high

high

critical

high

high

high

critical

high