Roundcube 1.6.20 et 1.7.5 corrigent plusieurs failles, dont une RCE
Roundcube publie 1.6.20 et 1.7.5. Le CERT-FR (AVI-1340) liste exécution de code à distance, SSRF, XSS, CSRF et contournement de politique. Mettez à jour les installations exposées.
Articles tagués: #roundcube
Roundcube 1.6.17 / 1.7.2 corrigent un XSS zero-click en texte brut (CERTFR-2026-AVI-0835)
Le CERT-FR répercute la sortie de Roundcube 1.6.17 et 1.7.2 : XSS stocké zero-click en texte brut (CVE-2026-54433) et XSS via type MIME (CVE-2026-54432). Mettez à jour.
Roundcube 1.6.16 et 1.7.1 corrigent une injection SQL pré-auth (CERTFR-2026-AVI-0644)
Le CERT-FR relaie l'avis Roundcube du 24 mai : SQLi pré-auth dans virtuser_query, suppression de fichiers par poisoning Redis/Memcache, injection de code LDAP. Mettez à jour 1.6.16 / 1.7.1.