Projekt Roundcube opublikował wersje 1.6.17 oraz 1.7.2 zawierające zestaw poprawek bezpieczeństwa. Najpoważniejsza z opisanych luk, CVE-2026-54433, dotyczy zero-click stored XSS w renderowaniu wiadomości tekstowych. Aktualizacje naprawiają również XSS związany z typem MIME załącznika, kolejne przypadki obejścia ochrony SSRF, problemy w dodatku zmiany hasła oraz możliwość wywołania DoS przez odpowiednio spreparowany plik winmail.dat.

Jakie podatności naprawiono w Roundcube?

Zgodnie z komunikatem bezpieczeństwa Roundcube poprawki obejmują kilka niezależnych problemów. CVE-2026-54432 dotyczy stored XSS na stronie ostrzegającej o walidacji załączników, a CVE-2026-54433 – stored XSS w mechanizmie renderowania zwykłego tekstu. Ten drugi przypadek jest szczególnie istotny, ponieważ producent określa go jako zero-click: do uruchomienia nie musi być potrzebne kliknięcie odnośnika w wiadomości.

W pakiecie znalazły się również poprawki dla TNEF, czyli mechanizmu obsługującego m.in. pliki winmail.dat, oraz dwa kolejne przypadki obejścia zabezpieczeń SSRF dla określonych adresów lokalnych.

Kogo dotyczy aktualizacja?

Roundcube zaleca aktualizację wszystkich produkcyjnych instalacji z gałęzi 1.6.x oraz 1.7.x. Jeżeli korzystasz z Roundcube jako użytkownik poczty dostarczanej przez hostingodawcę, aktualizacją najczęściej zajmuje się administrator usługi. Jeśli sam utrzymujesz Roundcube na serwerze, sprawdź wersję i zaplanuj przejście odpowiednio do 1.6.17 albo 1.7.2 lub nowszej.

Czy problem został naprawiony?

Tak. Wymienione podatności zostały załatane w wydaniach 1.6.17 i 1.7.2. Samo opublikowanie aktualizacji nie chroni jednak instalacji, która nadal działa na starszej wersji. W przypadku własnego serwera kluczową akcją jest więc aktualizacja, a nie zmiana ustawień w kliencie pocztowym.

Źródło: Roundcube – Security updates 1.6.17 and 1.7.2 released.