- Yama var
- Son 7 gün
- CWE-288
CVE-2026-114732
Roundcube Webmail'de çok sunuculu kurulumlarda takma ad girişiyle yanlış hesaba erişim
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- mitre
ÖzetTürkçe
Roundcube Webmail'in 1.6.20 sürümünden önceki 1.6.x sürümlerinde ve 1.7.5 sürümünden önceki 1.7.x sürümlerinde, çok sunuculu (multi-host) kurulumlarda kimlik doğrulama yetersizliğine yol açan bir güvenlik açığı bulunmaktadır. Bir kullanıcı takma ad adresiyle giriş yaptığında, rcube_user::query fonksiyonu adresi IMAP sunucusu bilgisiyle sınırlandırmadan kimlik kayıtlarıyla eşleştirmektedir. Bu nedenle bir giriş, farklı bir IMAP sunucusuna ait bir kullanıcı hesabına yönlendirilebilmektedir. Üretici, “Fix bug where an alias login wasn’t qualified by IMAP host” başlıklı commit ile bu sorunu gidermiştir. CVSS 3.1 vektörü: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:N (6.8, ORTA).
Kaynaktaki açıklama (İngilizce)
Roundcube Webmail before 1.6.20 and 1.7.x before 1.7.5 is affected by an improper authentication vulnerability in multi-host installations. When a user logs in with an alias address, rcube_user::query() matched the address against identity records without qualifying the lookup by IMAP host, so a login could be resolved to a user account belonging to a different IMAP host. Upstream fixed this in the commit “Fix bug where an alias login wasn’t qualified by IMAP host”.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Roundcube Webmail | ≥ 1.6.0, < 1.6.20 | 1.6.20 |
| ≥ 1.7.0, < 1.7.5 | 1.7.5 |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- roundcube.net/…s/2026/10/19/security-updates-1.6.20-and-1.7.5 Üretici bülteni
- github.com/…ommit/453c413d6851cf603bebdb15e58381f5ef9b8094 Yama
- github.com/roundcube/roundcubemail/releases/tag/1.7.5 Yama
- github.com/roundcube/roundcubemail/releases/tag/1.6.20 Yama
- github.com/…ommit/cb235cbfef88cbf78236dc67d3b667bf3dc61ddd Yama
- bugs.debian.org/1151279 Üçüncü taraf
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.