CVE-2026-114725
Açıklama
Roundcube Webmail 1.6.20 öncesi ve 1.7.x 1.7.5 öncesi sürümleri bir mail header injection zafiyetinden etkilenmektedir. rcmail_sendmail fonksiyonu yeni satır karakterlerini yalnızca Subject ve Organization başlıklarından temizlemekte, istek parametrelerinden alınan diğer başlık değerlerini sanitize edilmemiş halde bırakmaktadır; bu durum, uzak konumdaki kimliği doğrulanmış bir saldırganın References, In-Reply-To, Message-ID ve From parametreleri aracılığıyla giden bir mesaja rastgele başlıklar eklemesine olanak tanımaktadır. Üst akış (upstream), her dize başlık değerindeki boşlukları normalize eden “Fix mail header injection via References/In-Reply-To/Message-ID/From parameters” commit'i ile bu sorunu gidermiştir.
Nasıl düzeltilir
- roundcube webmail1.6.20, 1.7.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| roundcube webmail | 1.6.0 ≤ v < 1.6.20, 1.7.0 ≤ v < 1.7.5 | 1.6.20, 1.7.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.