自己報告されたバージョン番号によると、Roundcube Webmail は 1.5.12 より前、または 1.6.12 より前の 1.6.x です。したがって、以下の複数の脆弱性の影響を受けます。

 - HTMLスタイルのサニタイザーにおける情報開示の脆弱性。

 - SVGドキュメント内のanimateタグによるクロスサイトスクリプティング(XSS)脆弱性。

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 1.5.12 より前の および 1.61.6.12 より前の の Roundcube Webmail は、SVG ドキュメント内のアニメーションタグを介してクロスサイトスクリプティングXSSの脆弱性に対して脆弱です。CVE-2025-68461

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの Ubuntu 18.04LTS / 20.04LTS / 22.04LTS / 24.04LTS ホストには、USN-8097-1 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    Roundcube Webmail が SVG ドキュメント内のアニメーションタグを適切にサニタイズしていないことが発見されました。
    攻撃者がこの問題を利用して、クロスサイトスクリプティング攻撃を引き起こす可能性があります。

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 12/13 ホストには、dsa-6087 アドバイザリで言及されているように、複数の脆弱性の影響を受けるパッケージがインストールされています。

    - -------------------------------------------------- -------------------------- Debian セキュリティアドバイザリ DSA-6087-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2025 年 12 月 19 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージroundcube CVE ID CVE-2025-68460 CVE-2025-68461 Debian バグ1122899

    IMAP サーバー用のスキン可能な AJAX ベースの Web メールソリューションである roundcube が、SVG ドキュメントのアニメーションタグを介したクロスサイトスクリプティングの脆弱性および HTML スタイルサニタイザーの情報漏洩の脆弱性に脆弱であることが判明しました。

    旧安定版oldstableディストリビューションbookword では、これらの問題はバージョン 1.6.5+dfsg-1+deb12u6 で修正されています。

    安定版stableディストリビューションtrixieでは、これらの問題はバージョン 1.6.12+dfsg-0+deb13u1 で修正されています。

    お使いの roundcube パッケージをアップグレードすることを推奨します。

    roundcube の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
    https://security-tracker.debian.org/tracker/roundcube

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 42 ホストには、FEDORA-2025-fec36f9eaf のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ## リリース 1.6.12

    - データベース DSN で IPv6 をサポートします#9937
    - 特定の error_reporting 設定を強制しません
    - array_first() に関する PHP との互換性を修正します 8.5 
    - X-XSS-Protection の例を .htaccess ファイルから削除します#9875
    - 最初のグループ作成後のグループアクション状態への割り当てを修正#9889
    - 「contactlist_fields」に vcard フィールドが含まれている場合に連絡先検索が失敗するバグを修正します#9850
    - mbox エクスポートファイルに一貫性のないメッセージの区切り文字が含まれる可能性があるバグを修正#9879
    - 適切にフォーマットされていないインラインスタイルの解析を修正します#9948
    - SVG のアニメーションタグによるクロスサイトスクリプティングの脆弱性を修正します
    - HTML スタイルサニタイザーの情報漏洩の脆弱性を修正します





Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 43 ホストには、FEDORA-2025-58eb59741f のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ## リリース 1.6.12

    - データベース DSN で IPv6 をサポートします#9937
    - 特定の error_reporting 設定を強制しません
    - array_first() に関する PHP との互換性を修正します 8.5 
    - X-XSS-Protection の例を .htaccess ファイルから削除します#9875
    - 最初のグループ作成後のグループアクション状態への割り当てを修正#9889
    - 「contactlist_fields」に vcard フィールドが含まれている場合に連絡先検索が失敗するバグを修正します#9850
    - mbox エクスポートファイルに一貫性のないメッセージの区切り文字が含まれる可能性があるバグを修正#9879
    - 適切にフォーマットされていないインラインスタイルの解析を修正します#9948
    - SVG のアニメーションタグによるクロスサイトスクリプティングの脆弱性を修正します
    - HTML スタイルサニタイザーの情報漏洩の脆弱性を修正します





Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:20323-1 アドバイザリで言及されています。

    roundcubemail に変更します

    1.6.13 に更新:

      これは、Roundcube Webmail の安定版stableバージョン 1.6 に対するセキュリティ更新です。
      最近報告されたセキュリティの脆弱性に対する修正を提供します
      - CERT Polska により報告された CSS インジェクションの脆弱性を修正boo#1258052、 CVE-2026-26079。
      - nullcathedral が報告する SVG コンテンツを介したリモートイメージブロックのバイパスを修正しますboo#1257909、 CVE-2026-25916。

      このバージョンは安定版stableと見なされ、Roundcube 1.6.x の全ての生産インストールをこのバージョンで更新することを推奨します。更新する前に、データのバックアップを行ってください！

      変更ログ
      - ManagesieveOut of Office での日付テストのための string-list フォーマット値の処理を修正します#10075
      - CERT Polska 氏により報告された CSS インジェクションの脆弱性を修正します。
      - nullcathedral により報告される SVG コンテンツを介したリモート画像ブロックバイパスを修正。

    1.6.12 に更新:

      これは、Roundcube Webmail の安定版stableバージョン 1.6 に対するセキュリティ更新です。
      最近報告されたセキュリティの脆弱性に対する修正を提供します

      - Valentin T. 氏、CrowdStrike 氏により報告された SVG のアニメーションタグを介してクロスサイトスクリプティングの脆弱性を修正しますboo#1255308、 CVE-2025-68461]
      -somerandomdev によって報告された HTML スタイルサニタイザーにある情報漏洩の脆弱性を修正しますboo#1255306、 CVE-2025-68460。

      このバージョンは安定版stableと見なされ、Roundcube 1.6.x の全ての生産インストールをこのバージョンで更新することを推奨します。

      - データベース DSN で IPv6 をサポートします#9937
      - 特定の error_reporting 設定を強制しません
      - array_first() に関する PHP との互換性を修正します 8.5 
      - X-XSS-Protection の例を .htaccess ファイルから削除します#9875
      - 最初のグループ作成後のグループアクション状態への割り当てを修正#9889
      - contactlist_fields に vcard フィールドが含まれている場合に、コンタクト検索が失敗するバグを修正します#9850
      - mbox エクスポートファイルに一貫性のないメッセージの区切り文字が含まれる可能性があるバグを修正#9879
      - 適切にフォーマットされていないインラインスタイルの解析を修正します#9948
      - SVG のアニメーションタグによるクロスサイトスクリプティングの脆弱性を修正します
      - HTML スタイルサニタイザーの情報漏洩の脆弱性を修正します

    1.6.11 に更新してください

      これは、Roundcube Webmail の安定版stableバージョン 1.6 に対するセキュリティ更新です。
      最近報告されたセキュリティの脆弱性に対する修正を提供します
      * firs0v によって報告される PHP オブジェクト逆シリアル化を通じて Post-Auth RCE を修正します。

    - 変更ログ
      * Managesieveヘッダーの削除アクションの match-type セレクターを修正未サポートのオプションを削除します#9610
      * SMTP 認証の無効化に関する混乱を修正するためにインストーラーを向上します#9801
      * index.php の PHP 警告を修正します#9813
      * OAuthトークンリフレッシュを修正/改善します
      * HTML メールプレビューで誤った色が blockquote に使用されるダークモードのバグを修正します#9820
      * フローテーブルが含まれる場合の HTML メッセージプレビューを修正します#9804
      * キープレフィックスを使用する際の redis/memcache レコードの削除/期限切れを修正
      * タイプごとに 1 つ以上ある場合、間違った SPECIAL-USE フォルダが検出される可能性があるバグを修正します#9781
      * password_ldap_encodage オプションのデフォルト値およびドキュメンテーションを修正します#9658
      * モバイル/フローティングの [Create] ボタンを [Settings] >#9661[Folders] でリストから削除します [ ]
      * フォルダーの作成中の [削除] と [空] ボタンの状態を修正します#9047]
      * ldap:// URI を使用した LDAP への接続を修正#8990]
      * HTML モードでの返信引用の下でのカーソル位置を修正します#8700
      * コンテンツタイプが application/vnd.ms-tnef である添付ファイルが解析されないバグを修正します#7119

    1.6.10 に更新:

      これは、安定版stableバージョン 1.6を更新する次のサービスリリースです。
      * IMAPANNOTATE-EXPERIMENT-1 拡張の部分的サポートRFC 5257
      * OAuthOIDC トークンで受信した長寿命パスワードによる標準認証をサポートします#9530
      * PHP 警告を修正します#9616、 #9611]
      * vCard 行の継続における空白処理を修正します#9637
      * managedsieve_kolab_master モードでの初期スクリプト作成後の現在のスクリプト状態を修正
      * Zimbra サーバーでの rcube_imap::get_vendor() の結果および PHP 警告を修正します#9650]
      * インライン SVG 画像がメールプレビューで欠けている回帰を修正します#9644
      * ユーザー名のバックスラッシュを処理するために virtuser_file を修正します#9668
      * 一部の無効な形式の BODYSTRUCTURE 応答を解析する際の PHP の致命的なエラーを修正します#9689
      * PostgreSQL で insert_or_update() とデータベースサーバー構成の読み取りを修正します#9710]
      * use_secure_urls=true の Oauth 問題を修正します#9722
      * quoted-printable でエンコードされたバイナリメール部分例PDFの処理を修正します#9728
      * コメント内のリンクを修正し、必要に応じて https:// に構成します#9759、 #9756]
      * RFC2231 と RFC2047 の両方の標準を使用してエンコードされた添付ファイル名のデコードを修正します#9725]

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのDebian 11ホストには、dla-4415アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    -------------------------------------------------- ----------------------- Debian LTS アドバイザリ DLA-4415-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2025 年 12 月 18 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ roundcube バージョン 1.4.15+dfsg.1-1+deb11u6 CVE ID CVE-2025-68460 CVE-2025-68461 Debian バグ 1122899

    権限昇格または情報漏洩につながる可能性のある、IMAP サーバー用のスキン可能な AJAX ベースの Web メールソリューションである Roundcube で脆弱性が発見されました。これにより、権限昇格または情報漏洩が発生する可能性があります。

    CVE-2025-68460

        HTML スタイルサニタイザーの情報漏洩の脆弱性。

    CVE-2025-68461

        SVG の「<animate>」タグを介するクロスサイトスクリプティングXSSの脆弱性により、リモートの攻撃者が任意の JavaScript コードをロードしたり、悪意のある SVG ドキュメントを介して権限昇格や情報漏洩を引き起こしたりする可能性があります。

    Debian 11 Bullseyeでは、これらの問題はバージョン 1.4.15+dfsg.1-1+deb11u6 で修正されました。

    お使いの roundcube パッケージをアップグレードすることを推奨します。

    roundcube の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
    https://security-tracker.debian.org/tracker/roundcube

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 署名

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
115136	ラウンドキューブウェブメール < 1.5.12 複数の脆弱性	Web App Scanning	Component Vulnerability	2026/2/11	2026/2/11	high
115137	ラウンドキューブウェブメール 1.6.x < 1.6.12 複数の脆弱性	Web App Scanning	Component Vulnerability	2026/2/11	2026/2/11	high
279102	Linux Distros のパッチ未適用の脆弱性: CVE-2025-68461	Nessus	Misc.	2025/12/18	2026/4/29	medium
302761	Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTSRoundcube Webmail の脆弱性USN-8097-1	Nessus	Ubuntu Local Security Checks	2026/3/17	2026/3/17	medium
279439	Debian dsa-6087roundcube - セキュリティ更新	Nessus	Debian Local Security Checks	2025/12/19	2026/2/20	high
279901	Fedora 42roundcubemail2025-fec36f9eaf	Nessus	Fedora Local Security Checks	2025/12/25	2026/2/20	high
279900	Fedora 43roundcubemail2025-58eb59741f	Nessus	Fedora Local Security Checks	2025/12/25	2026/2/20	high
301453	openSUSE 16 セキュリティ更新roundcubemailopenSUSE-SU-2026:20323-1	Nessus	SuSE Local Security Checks	2026/3/7	2026/3/7	high
279110	Debian dla-4415 : roundcube - セキュリティ更新	Nessus	Debian Local Security Checks	2025/12/18	2026/2/20	high

検出

プラグインの検索

high

high

medium

medium

high

high

high

high

high