リモートのDebian 12/13ホストには、dsa-6301アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian セキュリティアドバイザリ DSA-6301-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 5 月 27 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ:roundcube CVE ID: CVE-2026-48842 CVE-2026-48843 CVE-2026-48844 CVE-2026-48845 CVE-2026-48846 CVE-2026-48847 CVE-2026-48848 CVE-2026-48849

    RoundCube Webmail に、クロスサイトスクリプティング、SQL インジェクション、SSRF バイパス、情報漏洩、サービス拒否またはコードインジェクションを引き起こす可能性がある、複数のセキュリティの脆弱性が発見されました。

    旧安定版(oldstable)ディストリビューション(bookworm)では、これらの問題はバージョン 1.6.5+dfsg-1+deb12u9 で修正されています。

    安定版(stable)ディストリビューション(trixie)では、これらの問題はバージョン 1.6.16+dfsg-0+deb13u1 で修正されています。

    お使いの roundcube パッケージをアップグレードすることを推奨します。

    roundcube の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
    https://security-tracker.debian.org/tracker/roundcube

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:20852-1 アドバイザリで言及されています。

    roundcubemail の変更点:

    - 1.6.16 に更新してください
      - IMAP ID コマンドの潜在的な長すぎる値を修正します(#10136)
      - セキュリティ:ドラフト復元ダイアログのサブジェクトフィールドに保存された XSS/HTML/CSS インジェクションを修正します [CVE-2026-48849] [bsc#1266337]
      - セキュリティ:「animate attributeName=style」を介して HTML サニタイザーの CSS インジェクションバイパスを修正します [CVE-2026-48848] [bsc#1266336]
      - セキュリティ:preg_replace バックスラッシュエスケープバイパスを介してプラグインvirtuser_query事前認証 SQL インジェクションを修正します [CVE-2026-48842] [bsc#1266329]
      - セキュリティ:特定のローカルアドレス URL を介した SSRF バイパスを修正します [CVE-2026-48843] [bsc#1266331]
      - セキュリティ:CSS var() を介してリモート画像ブロックのバイパスを修正します [CVE-2026-48846] [bsc#1266334]
      - セキュリティ:リモートリソースが許可されなかったときのローカル/プライベート URL フェッチのバイパスを修正します [CVE-2026-48845] [bsc#1266333]
      - セキュリティ:redis/memcache セッションポイズニングバイパスを介した事前認証の任意ファイル削除を修正します [CVE-2026-48847] [bsc#1266335]
      - セキュリティ:コードインジェクションの脆弱性を修正します - LDAP 自動値オプションのコード評価のサポートを削除します [CVE-2026-48844] [bsc#1266332]

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 44 ホストには、FEDORA-2026-2b956d89d3 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ## リリース 1.7.1

    - Enigma:HKP v1 プロトコル(#5314)を使用した自動公開鍵検索(インポート)をサポートします
    - Managesieve:メールメッセージに重複した List-Id ヘッダーを含むときのエラーを修正します(#10186)
    - Elastic のインストール手順を明確化しました(#10163)
    - 古いブラウザ用の HTMLFormElement.requestSubmit() polyfill を追加(#10179)
    - has:attachment 検索が $HasAttachment/$HasNoAttachment キーワードを使用するように修正します(#10168)
    - IMAP ID コマンドの潜在的な長すぎる値を修正します(#10136)
    - rcube::sleep() における redis/memcache 切断を修正します(#10127)
    - 静的リソース(たとえばskin_logo)が public_html ディレクトリ内に置かれるように修正します(#10160)
    - static.php で「PATH_INFO」が設定されていない場合に、「REQUEST_URI」がフォールバックとして使用されるように修正します(#10181)
    - 「assets_path」機能を修正し、「PATH_INFO」の依存関係を削除します(#10185)
    - MySQL < 8.0 および MariaDB < 10.5.3 (#10188)でアップグレードを修正MySQL
    - セキュリティ:ドラフト復元ダイアログの件名フィールドに保存された XSS/HTML/CSS の注入を修正します
    - セキュリティ:「<animate attributeName=style>」を介して HTML サニタイザーで CSS インジェクションバイパスを修正します
    - セキュリティ:「virtuser_query」プラグインにおける事前認証 SQL インジェクションを、バックスラッシュエスケープバイパスを介して修正preg_replace
    - セキュリティ:特定のローカルアドレス URL を介する SSRF バイパスを修正します
    - セキュリティ:CSS var() によるリモート画像ブロックのバイパスを修正します
    - セキュリティ:リモートリソースが許可されなかった場合のローカル/プライベート URL フェッチのバイパスを修正します
    - セキュリティ:redis/memcache セッションポイズニングバイパスを介した事前認証の任意ファイル削除を修正します
    - セキュリティ:コードインジェクションの脆弱性を修正します - LDAP「autovalues」オプションのコード評価のサポートを削除します




Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのDebian 11ホストには、dla-4604アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ------------------------------------------------------------------------- Debian LTS アドバイザリ DLA-4604-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2026 年 5 月 28 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ:roundcube バージョン: 1.4.15+dfsg.1-1+deb11u9 CVE ID: CVE-2026-48842 CVE-2026-48843 CVE-2026-48844 CVE-2026-48845 CVE-2026-48846 CVE-2026-48847 CVE-2026-48848 CVE-2026-48849 Debian バグ:1132838 1137507

    スキン変更が可能な IMAP サーバー向け AJAX ベースの Web メールソリューションである Roundcube に、複数の脆弱性が発見されました。これにより、クロスサイトスクリプティング、SQL インジェクション、サーバー側のリクエスト偽造、情報漏洩、コードインジェクション、または任意のファイルの削除が引き起こされる可能性があります。

    CVE-2026-48842

        「preg_replace()」バックスラッシュエスケープバイパスによる「virtuser_query」プラグインにおける事前認証 SQL インジェクション。

    CVE-2026-48843

       特定のローカルアドレスURLへのスタイルシートリンクを介したサーバーサイドリクエストフォージェリ(SSRF)の脆弱性。この問題は、 CVE-2026-35540に対する不十分な修正に起因しています。

    CVE-2026-48844

        LDAP の「autovalues」オプションのコード評価サポートを介したコードインジェクションの脆弱性。コード評価サポートは、この更新で削除されました。

    CVE-2026-48845

        リモートリソースが許可されなかったときのローカル/プライベート URL フェッチのバイパス。これにより、攻撃者がリモート画像ブロックをバイパスして、アクセス制御をバイパスする可能性があります。

    CVE-2026-48846

        CSS の「var()」によるリモート画像ブロックのバイパス。これにより、攻撃者がリモートイメージブロッキングをバイパスしてメールを開くアクションを追跡したり、アクセスコントロールをバイパスしたりする可能性があります。

    CVE-2026-48847

        redis/memcache セッションポイズニングバイパスによる事前認証の任意ファイルの削除。

    CVE-2026-48848

        SVG '<animate attributeName=style>' による HTML サニタイザーの CSS インジェクションバイパス。

    CVE-2026-48849

        XSS/HTML/CSS インジェクションをドラフト復元ダイアログのサブジェクトフィールドに保存しました。

    Debian 11 bullseye では、これらの問題はバージョン 1.4.15+dfsg.1-1+deb11u9 で修正されています。

    お使いの roundcube パッケージをアップグレードすることを推奨します。

    roundcube の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
    https://security-tracker.debian.org/tracker/roundcube

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 署名

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 43 ホストには、FEDORA-2026-07ee097ffe のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ## リリース 1.6.16

    - IMAP ID コマンドの潜在的な長すぎる値を修正します(#10136)
    - セキュリティ:ドラフト復元ダイアログの件名フィールドに保存された XSS/HTML/CSS の注入を修正します
    - セキュリティ:「<animate attributeName=style>」を介して HTML サニタイザーで CSS インジェクションバイパスを修正します
    - セキュリティ:「virtuser_query」プラグインにおける事前認証 SQL インジェクションを、バックスラッシュエスケープバイパスを介して修正preg_replace
    - セキュリティ:特定のローカルアドレス URL を介する SSRF バイパスを修正します
    - セキュリティ:CSS var() によるリモート画像ブロックのバイパスを修正します
    - セキュリティ:リモートリソースが許可されなかった場合のローカル/プライベート URL フェッチのバイパスを修正します
    - セキュリティ:redis/memcache セッションポイズニングバイパスを介した事前認証の任意ファイル削除を修正します
    - セキュリティ:コードインジェクションの脆弱性を修正します - LDAP「autovalues」オプションのコード評価のサポートを削除します




Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 1.6.16 より前、1.7.1 より前の 1.7.x の Roundcube Webmail 1.6.xで、復元されたドラフトの値にサニタイズされていない件名フィールドがあるため、共有メールボックスに保存された XSS/HTML/CSS インジェクションが発生する可能性があります。(CVE-2026-48849)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
317344	Debian dsa-6301:roundcube - セキュリティ更新	Nessus	Debian Local Security Checks	2026/5/28	2026/6/16	high
318192	openSUSE 16 セキュリティ更新:roundcubemail(openSUSE-SU-2026:20852-1)	Nessus	SuSE Local Security Checks	2026/6/2	2026/6/16	high
318362	Fedora 44:roundcubemail(2026-2b956d89d3)	Nessus	Fedora Local Security Checks	2026/6/3	2026/6/16	high
317444	Debian dla-4604:roundcube - セキュリティ更新	Nessus	Debian Local Security Checks	2026/5/28	2026/6/16	medium
318601	Fedora 43:roundcubemail(2026-07ee097ffe)	Nessus	Fedora Local Security Checks	2026/6/4	2026/6/16	high
316793	Linux Distros のパッチ未適用の脆弱性: CVE-2026-48849	Nessus	Misc.	2026/5/26	2026/7/20	medium

検出

プラグインの検索

high

high

high

medium

high

medium