2026-2216: Roundcube Webmail: Mehrere Schwachstellen ermöglichen u. a. das Ausführen beliebigen Programmcodes mit den Rechten des Dienstes

Historie:

Version 1 (2026-05-26 14:38): Neues Advisory
Version 2 (2026-05-27 10:08): Für Fedora 43 sowie EPEL 10.2 und 10.3 steht das Paket 'roundcubemail-1.6.16-1' im Status 'testing' bereit, um acht Schwachstellen zu beheben.
Version 3 (2026-05-28 07:17): Für Debian 12 Bookworm (oldstable) steht Version 1.6.5+dfsg-1+deb12u9 und für Debian 13 Trixie (stable) steht Version 1.6.16+dfsg-0+deb13u1 von 'roundcube' bereit, um die acht Schwachstellen zu beheben.

Betroffene Software

Office
Server

Betroffene Plattformen

Linux
Microsoft

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um Informationen auszuspähen, beliebigen Programmcode mit den Rechten des betroffenen Dienstes auszuführen, einen Cross-Site-Scripting (XSS)-Angriff durchzuführen, einen Server-Side-Request-Forgery-Angriff durchzuführen und einen Denial-of-Service (DoS)-Angriff durchzuführen.

Für die Ausnutzung der Schwachstellen sind unterschiedliche Privilegien erforderlich. Eine Schwachstelle erfordert die Interaktion eines Benutzers. Die erfolgreiche Ausnutzung mehrerer Schwachstellen kann Einfluss auf andere Komponenten haben.

Für Fedora 44 steht das Paket 'roundcubemail-1.7.1-1' im Status 'testing' bereit, um die Schwachstellen zu beheben.

Schwachstellen:

CVE-2026-48842

Schwachstelle in Roundcube Webmail ermöglicht Ausführen beliebigen Programmcodes mit den Rechten des Dienstes

CVE-2026-48843

Schwachstelle in Roundcube Webmail ermöglicht Server-Side-Request-Forgery-Angriff

CVE-2026-48844

Schwachstelle in Roundcube Webmail ermöglicht Ausführen beliebigen Programmcodes mit den Rechten des Dienstes

CVE-2026-48845

Schwachstelle in Roundcube Webmail ermöglicht Ausspähen von Informationen

CVE-2026-48846

Schwachstelle in Roundcube Webmail ermöglicht Ausspähen von Informationen

CVE-2026-48847

Schwachstelle in Roundcube Webmail ermöglicht Denial-of-Service-Angriff

CVE-2026-48848

Schwachstelle in Roundcube Webmail ermöglicht Cross-Site-Scripting-Angriff

CVE-2026-48849