- Yama var
- Son 7 gün
- CWE-770
CVE-2026-114723
Roundcube Webmail'de GD yedek işleme yoluyla ImageMagick kaynak sınırlarının aşılması
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- mitre
ÖzetTürkçe
Roundcube Webmail'in 1.6.20 öncesi sürümlerinde ve 1.7.5 öncesi 1.7.x sürümlerinde, küçük resim oluşturma sırasında ImageMagick kaynak sınırlarının atlatılmasına izin verilmektedir. rcube_image GD'ye geri döndüğünde, kullanılabilir bellek denetimi yalnızca Windows'ta uygulanmaktaydı; bu nedenle diğer platformlarda büyük boyutlara sahip özel hazırlanmış bir resim, herhangi bir kaynak sınırı olmadan GD tarafından işlenebiliyor ve sunucunun belleğini tüketebiliyordu. Üretici, bellek denetimini tüm platformlarda uygulayan “Fix ImageMagick resource limits bypass by GD fallback during thumbnail generation” başlıklı commit ile bu sorunu gidermiştir.
Kaynaktaki açıklama (İngilizce)
Roundcube Webmail before 1.6.20 and 1.7.x before 1.7.5 allows the ImageMagick resource limits to be bypassed during thumbnail generation. When rcube_image falls back to GD, the available-memory check was applied only on Windows, so on other platforms a crafted image with large dimensions was processed by GD without any resource limit and could exhaust server memory. Upstream fixed this in the commit “Fix ImageMagick resource limits bypass by GD fallback during thumbnail generation”, which applies the memory check on all platforms.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Roundcube Webmail | ≥ 1.6.0, < 1.6.20 | 1.6.20 |
| ≥ 1.7.0, < 1.7.5 | 1.7.5 |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- roundcube.net/…s/2026/10/19/security-updates-1.6.20-and-1.7.5 Üretici bülteni
- github.com/…ommit/d28a5703294e971a577e3c4f7bfc33362e3f04cf Yama
- github.com/roundcube/roundcubemail/releases/tag/1.7.5 Yama
- github.com/roundcube/roundcubemail/releases/tag/1.6.20 Yama
- github.com/…ommit/0bea81121efd96f07432a837f391dbdd0dffa33f Yama
- bugs.debian.org/1151279 Üçüncü taraf
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.