CVE-2026-114721

Nome do Software Vulnerável e Versões Afetadas Roundcube Webmail versões anteriores a 1.6.20 Roundcube Webmail versões 1.7.x anteriores a 1.7.5

Description Um invasor remoto autenticado pode ignorar a configuração disabled actions. Isso ocorre porque o sistema comparava apenas o nome da ação solicitada, permitindo o acesso a ações restritas por meio de seus aliases obsoletos. O problema é corrigido movendo a verificação para a função action handler() para resolver os aliases antes que a comparação seja feita.

Recommendations Atualize o Roundcube Webmail para a versão 1.6.20 ou posterior. Atualize o Roundcube Webmail para a versão 1.7.5 ou posterior.