- Yama var
- Son 7 gün
- CWE-93
CVE-2026-114720
Roundcube Webmail'de IMAP komut enjeksiyonu açığı
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- mitre
ÖzetTürkçe
Roundcube Webmail, 1.6.20 sürümünden önceki 1.6.x ve 1.7.5 sürümünden önceki 1.7.x sürümlerinde IMAP komut enjeksiyonu açığından etkilenmektedir. Kimliği doğrulanmış uzak bir saldırgan, mail/mark işleminin _flag parametresine enjekte edilen CRLF dizileri aracılığıyla bu açığı istismar ederek keyfi IMAP komutları çalıştırabilir. Üretici, _flag parametresindeki CRLF nedeniyle oluşan IMAP komut enjeksiyonunu düzelten bir değişiklikle sorunu gidermiştir; bu düzeltme, kontrol karakterleri, boşluk karakterleri ve IMAP'e özgü özel karakterleri içeren bayrakları reddetmektedir.
Kaynaktaki açıklama (İngilizce)
Roundcube Webmail before 1.6.20 and 1.7.x before 1.7.5 is affected by an IMAP command injection vulnerability. A remote authenticated attacker can exploit this via CRLF sequences injected into the _flag parameter of the mail/mark action to execute arbitrary IMAP commands. Upstream fixed this in the commit “Fix IMAP command injection via CRLF in _flag parameter of mail/mark action”, which rejects flags containing control, whitespace and IMAP-special characters.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Roundcube Webmail | ≥ 1.6.0, < 1.6.20 | 1.6.20 |
| ≥ 1.7.0, < 1.7.5 | 1.7.5 |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- roundcube.net/…s/2026/10/19/security-updates-1.6.20-and-1.7.5 Üretici bülteni
- github.com/…ommit/6c3c1897c11e193e47fccaabc87e9ca2a0a73e51 Yama
- github.com/roundcube/roundcubemail/releases/tag/1.7.5 Yama
- github.com/roundcube/roundcubemail/releases/tag/1.6.20 Yama
- github.com/…ommit/242c6d6a150c850bd96d20d400261e71f8d11f9b Yama
- bugs.debian.org/1151279 Üçüncü taraf
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.