Origine : bjCSIRT
Numéro : 2026/ALERTE/126
APERÇU :
De multiples vulnérabilités affectant Roundcube Webmail permettraient à un acteur malveillant d’exécuter du code arbitraire à distance, de provoquer une falsification de requêtes côté serveur et de compromettre la confidentialité et l’intégrité des données sur les systèmes affectés.
DESCRIPTION :
Roundcube Webmail est un client de messagerie web open source qui permet aux utilisateurs d’accéder à leur messagerie électronique et de la gérer via un navigateur web.
Le 19 octobre 2026, l’équipe de développement de Roundcube a publié des mises à jour de sécurité corrigeant vingt vulnérabilités signalées par plusieurs chercheurs en sécurité.
Les failles les plus critiques concernent l’injection de commandes IMAP et d’en-têtes de courriels, le contournement de la protection contre les requêtes côté serveur, notamment au moyen d’adresses IPv6 NAT64 et les attaques CSRF lors du signalement de courriels comme indésirables. D’autres vulnérabilités touchent la gestion des sessions et la modification non autorisée du mot de passe d’un autre compte via le pilote Modoboa et le traitement des pièces jointes par ImageMagick, notamment l’exposition à des contenus dangereux et le contournement de limites de consommation des ressources.
Ces vulnérabilités résultent principalement d’un défaut de validation, d’échappement et de traitement des données fournies en entrée. L’exploitation de ces failles permettrait à un acteur malveillant d’accéder de manière non autorisée aux données et, selon la vulnérabilité exploitée, d’exécuter du code arbitraire à distance sur les systèmes affectés.
IMPACT
- Injection de commandes IMAP arbitraires ;
- Exécution de code arbitraire à distance ;
- Atteinte à la confidentialité des données ;
- Compromission de l’intégrité des comptes et des données.
SYSTEMES AFFECTÉS
- Roundcube Webmail versions 1.6.x antérieures à 1.6.20 ;
- Roundcube Webamail versions 1.7.x antérieures à 1.7.5.
MESURES À PRENDRE :
- Mettre à jour Roundcube Webmail vers les versions 1.6.20, 1.7.5 ou ultérieure ;
- Pour les installations gérées via un panneau d’administration (cPanel, Plesk) ou via les paquets d’une distribution, s’assurer auprès de l’éditeur que la version 1.6.20 ou 1.7.5 est bien déployée ;
- Désactiver les extensions et pilotes de mot de passe inutilisés ;
- Auditer les journaux d’accès et IMAP afin de détecter toute activité inhabituelle.
RÉFÉRENCES :