CVE-2026-113386

Nome do Software Vulnerável e Versões Afetadas Roundcube Webmail versões anteriores a 1.6.20 Roundcube Webmail versões 1.7.x anteriores a 1.7.5

Descrição Atacantes remotos autenticados podem realizar a injeção de comandos IMAP ao injetar sequências CRLF no parâmetro uid dos endpoints 'mail/headers' e 'mail/viewsource'. Isso permite a execução de comandos IMAP arbitrários. CRLF refere-se aos caracteres de Carriage Return (Retorno de Carro) e Line Feed (Alimentação de Linha) usados para indicar o fim de uma linha de texto.

Recomendações Atualize o Roundcube Webmail para a versão 1.6.20 ou posterior. Atualize o Roundcube Webmail para a versão 1.7.5 ou posterior. Evite usar o parâmetro uid nos endpoints 'mail/headers' e 'mail/viewsource' até que o software seja atualizado.