- Yama var
- Son 7 gün
- CWE-79
CVE-2026-114718
Roundcube Webmail şifre eklentisinde siteler arası betik çalıştırma (XSS) açığı
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- mitre
ÖzetTürkçe
Roundcube Webmail 1.6.20 öncesi ve 1.7.x sürümlerinin 1.7.5 öncesi sürümleri, şifre eklentisinde siteler arası betik çalıştırma (XSS) açığından etkilenmektedir. Bir şifre sürücüsünün döndürdüğü hata metni, HTML kaçış karakterleri uygulanmadan kullanıcıya gösterilen mesaja eklenmektedir. Bu nedenle, DirectAdmin API gibi bu metni etkileyebilen bir arka uç, Roundcube arayüzüne betik enjekte edebilir. Üretici, sürücü mesajını görüntülemeden önce kaçış işlemi uygulayan “Fix XSS issue in handling of password driver error responses” başlıklı commit ile sorunu düzeltmiştir. CVSS 3.1 puanı 4.7 (ORTA), vektör: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N.
Kaynaktaki açıklama (İngilizce)
Roundcube Webmail before 1.6.20 and 1.7.x before 1.7.5 is affected by a cross-site scripting vulnerability in the password plugin. Error text returned by a password driver was concatenated into the message presented to the user without HTML escaping, so a backend able to influence that text, such as the DirectAdmin API, could inject script into the Roundcube interface. Upstream fixed this in the commit “Fix XSS issue in handling of password driver error responses”, which escapes the driver message before display.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Roundcube Webmail | ≥ 1.6.0, < 1.6.20 | 1.6.20 |
| ≥ 1.7.0, < 1.7.5 | 1.7.5 |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- roundcube.net/…s/2026/10/19/security-updates-1.6.20-and-1.7.5 Üretici bülteni
- github.com/…ommit/16bbca70b668e85332f23333946a764865bead94 Yama
- github.com/roundcube/roundcubemail/releases/tag/1.7.5 Yama
- github.com/roundcube/roundcubemail/releases/tag/1.6.20 Yama
- github.com/…ommit/94298856ee67ff7817cc4def2adb634be91e28c7 Yama
- bugs.debian.org/1151279 Üçüncü taraf
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.