CVE-2026-114728
Açıklama
Roundcube Webmail 1.6.20 öncesi ve 1.7.x 1.7.5 öncesi sürümleri, FuncIRI özniteliklerinin işlenmesindeki bir uzaktan içerik engelleme atlatma sorunundan etkilenmektedir. rcube_washtml, CSS url() belirtecini yalnızca bazı kaçış dizilimlerini listeleyen bir desenle tespit ettiği için, örneğin \000075rl( veya u\72 l( gibi diğer CSS kaçış dizilerini kullanan değerler tanınmamış ve uzak içerikler kullanıcının onayı olmadan bir HTML mesajından yüklenmiştir. Üst akış, eşleşmeden önce CSS kaçışlarını çözen ve ayrıca `to`, `from` ve `by` özniteliklerini inceleyen “Fix remote content blocking bypass via CSS escapes in FuncIRI attributes (again)” commit'i ile bu sorunu gidermiştir.
Nasıl düzeltilir
- roundcube webmail1.6.20, 1.7.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| roundcube webmail | 1.6.0 ≤ v < 1.6.20, 1.7.0 ≤ v < 1.7.5 | 1.6.20, 1.7.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.