תיאור (מקור, אנגלית)
Roundcube Webmail before 1.6.20 and 1.7.x before 1.7.5 is affected by an uncontrolled resource consumption vulnerability in the CSS proxy (the utils/modcss action). The fetched stylesheet was read into memory in full, with no size limit and no read timeout, so a stylesheet URL referencing an attacker-controlled host could be used to exhaust server memory. Upstream fixed this in the commit “Add a size limit to the CSS proxy content processing”, which caps the response at 5 MB, reads it as a stream and applies a read timeout.
מוצרים מושפעים
roundcube: webmail
קישורים6
- github.com/roundcube/roundcubemail/commit/2c9f6da692fa37cad2aa… Patch
- github.com/roundcube/roundcubemail/commit/99a5bdd05b01f45493cc… Patch
- bugs.debian.org/1151279 Third Party AdvisoryMailing List
- github.com/roundcube/roundcubemail/releases/tag/1.6.20 Release Notes
- github.com/roundcube/roundcubemail/releases/tag/1.7.5 Release Notes
- roundcube.net/news/2026/10/19/security-updates-1.6.20-and-1.7.5 Release Notes
מדדים
- CVSS 3.1
-
5.3
MEDIUM
מקור הציון: CNA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L - EPSS — סבירות ניצול
- 0% אחוזון 38 · נכון ל-8 בנובמבר 2026
- CWE
- CWE-770
האם אפשר לנצל את הפגיעות הזו אצלכם?
עדכון אבטחה סוגר את הפרצה הידועה. בדיקת חדירות מראה לאן תוקף עדיין יכול להגיע — עם הוכחה.