- Yama var
- Son 7 gün
- CWE-184
CVE-2026-114729
Roundcube Webmail'de SVG SMIL 'by' özniteliği üzerinden uzak içerik engelleyicisi atlatılabiliyor
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- mitre
ÖzetTürkçe
Roundcube Webmail'in 1.6.20 öncesi sürümlerinde ve 1.7.5 öncesi 1.7.x sürümlerinde uzak içerik engelleme mekanizması atlatılabilmektedir. rcube_washtml, SVG SMIL animasyon öznitelikleri olan to, from ve values içindeki URI'leri denetlemekte, ancak by özniteliğini denetlememektedir. Bu nedenle HTML iletisi gibi işaretlemeler, kullanıcının onayı olmadan uzak içeriğin yüklenmesine yol açmakta; bu da istemci IP adresinin ifşa edilmesine ve iletinin açıldığının doğrulanmasına neden olmaktadır. Üretici, bu sorunu “Fix remote-content blocker bypass via SVG SMIL by attribute” başlıklı commit ile düzeltmiştir.
Kaynaktaki açıklama (İngilizce)
Roundcube Webmail before 1.6.20 and 1.7.x before 1.7.5 is affected by a remote content blocking bypass. rcube_washtml inspected the SVG SMIL animation attributes to, from and values for URIs, but not by; so markup such as in an HTML message caused remote content to be loaded without the user's consent, disclosing the client IP address and confirming that the message was opened. Upstream fixed this in the commit “Fix remote-content blocker bypass via SVG SMIL by attribute”.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Roundcube Webmail | ≥ 1.6.0, < 1.6.20 | 1.6.20 |
| ≥ 1.7.0, < 1.7.5 | 1.7.5 |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- roundcube.net/…s/2026/10/19/security-updates-1.6.20-and-1.7.5 Üretici bülteni
- github.com/…ommit/96d993b4ac57166a094b5774f4761e0b905d9a05 Yama
- github.com/roundcube/roundcubemail/releases/tag/1.7.5 Yama
- github.com/roundcube/roundcubemail/releases/tag/1.6.20 Yama
- github.com/…ommit/2b6ff79d8b14f94b0ff04765b7f02dbfdfe98efa Yama
- bugs.debian.org/1151279 Üçüncü taraf
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.