遠端 Debian 11 主機已安裝受到 dla-4480 公告中所提及的多個弱點影響的套件。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4480-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2026 年 2 月 17 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件 roundcube 版本 1.4.15+dfsg.1-1+deb11u7 CVE ID CVE-2026-25916 CVE-2026-26079 Debian 錯誤 1127447

    在 Roundcube (一種適用於 IMAP 伺服器的可換膚 AJAX 型 webmail 解決方案) 中發現多個弱點可導致資訊洩漏或權限提升。

    CVE-2026-25916

        NULL CATHEDRAL 發現 HTML 清理程式未處理 SVG `<feImage href=> ` 做為影像來源。這可讓攻擊者繞過遠端影像封鎖以追踪電子郵件開啟動作或可能繞過存取控制。

    CVE-2026-26079

        CERT Polska 發現text/html 電子郵件中的 CSS 程式碼未充分清理進而允許攻擊者插入惡意樣式表規則。

    針對 Debian 11 Bullseye這些問題已在 1.4.15+dfsg.1-1+deb11u7 版本中修正。

    建議您升級 roundcube 套件。

    如需有關 roundcube 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/roundcube

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Web 伺服器執行的 Roundcube Webmail 是低於 1.5.13 的 1.5.x 版或低於 1.6.13 的 1.6.x 版，因此，會受到多個弱點影響：

  - 存在一個階層式樣式表 (CSS) 插入弱點這是因為不當處理註解所致。遠端攻擊者可惡意利用此弱點插入任意 CSS。 (CVE-2026-26079)

  - 存在一個遠端影像封鎖繞過這是因為在使用「封鎖遠端影像」設定時未封鎖 SVG feImage 元素所導致。遠端攻擊者可惡意利用此弱點載入遠端影像。 (CVE-2026-25916)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 1.5.13 之前的 Roundcube Webmail 和 1.6 之前的 1.6.13使用封鎖遠端影像時不會封鎖 SVG feImage。 (CVE-2026-25916)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

远程 Web 服务器上运行的 Roundcube Webmail 版本为低于 1.5.13 的 1.5.x 或低于 1.6.13 的 1.6.x。因此，该应用程序受到多个漏洞的影响：

  - 存在一个层叠样式表 (CSS) 注入漏洞这是因为不当处理注释所致。远程攻击者可利用此问题注入任意 CSS。 (CVE-2026-26079)

  - 存在一个远程图像阻止绕过原因是使用“阻止远程图像”设置时未阻止 SVG feImage 元素。远程攻击者可利用此问题加载远程图像。 (CVE-2026-25916)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 低于 1.5.13 和 1.61.6.13] 的 Roundcube Webmail 在使用“阻止远程图像”时未阻止 SVG feImage。 (CVE-2026-25916)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

遠端 Debian 12 / 13 主機已安裝受到多個弱點影響的套件如 dsa-6137 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian 安全性公告 DSA-6137-1 security@debian.org https://www.debian.org/security/Sebastien Delafond 2026 年 2 月 17 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件 roundcube CVE ID CVE-2026-25916 CVE-2026-26079 Debian 錯誤 1127447

    CERT Polska 和 nullcathedral 發現適用於 IMAP 伺服器的可換膚 AJAX 型 webmail 解決方案 roundcube 未正確處理及清理要求。攻擊者可藉此發動 CSS 插入攻擊或洩漏敏感資訊。

    針對舊的穩定發行版本 (bookwarm)這些問題已在 1.6.5+dfsg-1+deb12u7 版本中修正。

    針對穩定的發行版本 (trixie)這些問題已在 1.6.13+dfsg-0+deb13u1 版本中修正。

    建議您升級 roundcube 套件。

    如需有關 roundcube 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/roundcube

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Debian 12 / 13 主机上存在安装的程序包该程序包受到 dsa-6137 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-6137-1 security@debian.org https://www.debian.org/security/Sebastien Delafond 2026 年 2 月 17 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包roundcube CVE ID CVE-2026-25916 CVE-2026-26079 Debian 缺陷1127447

    CERT Polska 和 nullcathedral 发现 roundcube用于 IMAP 服务器的基于 skinnable AJAX 的 webmail 解决方案未正确处理和清理请求。这将允许攻击者执行 CSS 注入攻击或泄漏敏感信息。

    对于旧稳定发行版本 (bookbird)这些问题已在版本 1.6.5+dfsg-1+deb12u7 中修复。

    对于稳定发行版本 (trixie)这些问题已在版本 1.6.13+dfsg-0+deb13u1 中修复。

    建议您升级 roundcube 程序包。

    如需了解 roundcube 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/roundcube

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4480 公告中提及的多个漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4480-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2026 年 2 月 17 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包roundcube版本: 1.4.15+dfsg.1-1+deb11u7 CVE ID CVE-2026-25916 CVE-2026-26079 Debian 缺陷1127447

    在 RoundcubeIMAP 服务器基于 Skinnable AJAX 的 webmail 解决方案中发现漏洞可能导致信息泄露或权限升级。

    CVE-2026-25916

        NULL CATHEDRAL 发现 HTML 审查器未将 SVG `<feImage href=> ` 作为图像源。这允许攻击者绕过远程图像阻断以跟踪电子邮件打开操作或可能绕过访问控制。

    CVE-2026-26079

        CERT Polska 发现text/html 电子邮件中的 CSS 代码未得到充分审查这允许攻击者注入恶意样式表规则。

    对于 Debian 11 Bullseye这些问题已在 1.4.15+dfsg.1-1+deb11u7 版本中修复。

    建议您升级 roundcube 程序包。

    如需了解 roundcube 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/roundcube

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

リモート Web サーバーは、1.5.13 より前の 1.5.x または 1.6.13 より前の 1.6.x のバージョンの Roundcube Webmail を実行しています。そのため、以下の複数の脆弱性の影響を受けます。

  - コメントの処理が不適切なために、Cascading Style SheetsCSSインジェクションの脆弱性が存在します。リモートの攻撃者がこれを悪用し、任意のCSSを注入する可能性があります。CVE-2026-26079

  - 「リモートイメージをブロック」設定が使用されている際に SVG feImage 要素がブロックされないため、リモートイメージブロックバイパスが存在します。リモートの攻撃者がこれを悪用して、リモート画像をロードする可能性があります。CVE-2026-25916

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 1.5.13 より前の Roundcube Webmail および 1.61.6.13] より前の は、Block リモートイメージを使用する場合、SVG feImage をブロックしません。CVE-2026-25916

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートのDebian 11ホストには、dla-4480アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    -------------------------------------------------- ----------------------- Debian LTS アドバイザリ DLA-4480-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2026 年 2 月 17 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ roundcube バージョン 1.4.15+dfsg.1-1+deb11u7 CVE ID CVE-2026-25916 CVE-2026-26079 Debian バグ 1127447

    IMAP サーバー用のスキン可能な AJAX ベースの Web メールソリューションである Roundcube で脆弱性が発見されました。これにより、情報漏洩または権限昇格が引き起こされる可能性があります。

    CVE-2026-25916

        NULL CATHEDRAL は、HTML サニタイザーが SVG を処理しないことを発見しました。<feImage href=> ` を画像ソースとして使用します。これにより、攻撃者がリモートイメージブロックをバイパスしてメールオープンアクションを追跡したり、アクセス制御をバイパスしたりする可能性があります。

    CVE-2026-26079

        CERT Polska 氏は、text/html メールの CSS コードが十分にサニタイズされず、攻撃者が悪意のあるスタイルシートルールを注入することが可能になることを発見しました。

    Debian 11 Bullseyeでは、これらの問題はバージョン 1.4.15+dfsg.1-1+deb11u7 で修正されました。

    お使いの roundcube パッケージをアップグレードすることを推奨します。

    roundcube の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
    https://security-tracker.debian.org/tracker/roundcube

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 署名

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:20323-1 アドバイザリで言及されています。

    roundcubemail に変更します

    1.6.13 に更新:

      これは、Roundcube Webmail の安定版stableバージョン 1.6 に対するセキュリティ更新です。
      最近報告されたセキュリティの脆弱性に対する修正を提供します
      - CERT Polska により報告された CSS インジェクションの脆弱性を修正boo#1258052、 CVE-2026-26079。
      - nullcathedral が報告する SVG コンテンツを介したリモートイメージブロックのバイパスを修正しますboo#1257909、 CVE-2026-25916。

      このバージョンは安定版stableと見なされ、Roundcube 1.6.x の全ての生産インストールをこのバージョンで更新することを推奨します。更新する前に、データのバックアップを行ってください！

      変更ログ
      - ManagesieveOut of Office での日付テストのための string-list フォーマット値の処理を修正します#10075
      - CERT Polska 氏により報告された CSS インジェクションの脆弱性を修正します。
      - nullcathedral により報告される SVG コンテンツを介したリモート画像ブロックバイパスを修正。

    1.6.12 に更新:

      これは、Roundcube Webmail の安定版stableバージョン 1.6 に対するセキュリティ更新です。
      最近報告されたセキュリティの脆弱性に対する修正を提供します

      - Valentin T. 氏、CrowdStrike 氏により報告された SVG のアニメーションタグを介してクロスサイトスクリプティングの脆弱性を修正しますboo#1255308、 CVE-2025-68461]
      -somerandomdev によって報告された HTML スタイルサニタイザーにある情報漏洩の脆弱性を修正しますboo#1255306、 CVE-2025-68460。

      このバージョンは安定版stableと見なされ、Roundcube 1.6.x の全ての生産インストールをこのバージョンで更新することを推奨します。

      - データベース DSN で IPv6 をサポートします#9937
      - 特定の error_reporting 設定を強制しません
      - array_first() に関する PHP との互換性を修正します 8.5 
      - X-XSS-Protection の例を .htaccess ファイルから削除します#9875
      - 最初のグループ作成後のグループアクション状態への割り当てを修正#9889
      - contactlist_fields に vcard フィールドが含まれている場合に、コンタクト検索が失敗するバグを修正します#9850
      - mbox エクスポートファイルに一貫性のないメッセージの区切り文字が含まれる可能性があるバグを修正#9879
      - 適切にフォーマットされていないインラインスタイルの解析を修正します#9948
      - SVG のアニメーションタグによるクロスサイトスクリプティングの脆弱性を修正します
      - HTML スタイルサニタイザーの情報漏洩の脆弱性を修正します

    1.6.11 に更新してください

      これは、Roundcube Webmail の安定版stableバージョン 1.6 に対するセキュリティ更新です。
      最近報告されたセキュリティの脆弱性に対する修正を提供します
      * firs0v によって報告される PHP オブジェクト逆シリアル化を通じて Post-Auth RCE を修正します。

    - 変更ログ
      * Managesieveヘッダーの削除アクションの match-type セレクターを修正未サポートのオプションを削除します#9610
      * SMTP 認証の無効化に関する混乱を修正するためにインストーラーを向上します#9801
      * index.php の PHP 警告を修正します#9813
      * OAuthトークンリフレッシュを修正/改善します
      * HTML メールプレビューで誤った色が blockquote に使用されるダークモードのバグを修正します#9820
      * フローテーブルが含まれる場合の HTML メッセージプレビューを修正します#9804
      * キープレフィックスを使用する際の redis/memcache レコードの削除/期限切れを修正
      * タイプごとに 1 つ以上ある場合、間違った SPECIAL-USE フォルダが検出される可能性があるバグを修正します#9781
      * password_ldap_encodage オプションのデフォルト値およびドキュメンテーションを修正します#9658
      * モバイル/フローティングの [Create] ボタンを [Settings] >#9661[Folders] でリストから削除します [ ]
      * フォルダーの作成中の [削除] と [空] ボタンの状態を修正します#9047]
      * ldap:// URI を使用した LDAP への接続を修正#8990]
      * HTML モードでの返信引用の下でのカーソル位置を修正します#8700
      * コンテンツタイプが application/vnd.ms-tnef である添付ファイルが解析されないバグを修正します#7119

    1.6.10 に更新:

      これは、安定版stableバージョン 1.6を更新する次のサービスリリースです。
      * IMAPANNOTATE-EXPERIMENT-1 拡張の部分的サポートRFC 5257
      * OAuthOIDC トークンで受信した長寿命パスワードによる標準認証をサポートします#9530
      * PHP 警告を修正します#9616、 #9611]
      * vCard 行の継続における空白処理を修正します#9637
      * managedsieve_kolab_master モードでの初期スクリプト作成後の現在のスクリプト状態を修正
      * Zimbra サーバーでの rcube_imap::get_vendor() の結果および PHP 警告を修正します#9650]
      * インライン SVG 画像がメールプレビューで欠けている回帰を修正します#9644
      * ユーザー名のバックスラッシュを処理するために virtuser_file を修正します#9668
      * 一部の無効な形式の BODYSTRUCTURE 応答を解析する際の PHP の致命的なエラーを修正します#9689
      * PostgreSQL で insert_or_update() とデータベースサーバー構成の読み取りを修正します#9710]
      * use_secure_urls=true の Oauth 問題を修正します#9722
      * quoted-printable でエンコードされたバイナリメール部分例PDFの処理を修正します#9728
      * コメント内のリンクを修正し、必要に応じて https:// に構成します#9759、 #9756]
      * RFC2231 と RFC2047 の両方の標準を使用してエンコードされた添付ファイル名のデコードを修正します#9725]

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 12 / 13 ホストには、dsa-6137 アドバイザリで言及されているように、複数の脆弱性の影響を受けるパッケージがインストールされています。

    - -------------------------------------------------- -------------------------- Debian セキュリティアドバイザリ DSA-6137-1 security@debian.org https://www.debian.org/security/Sebastien Delafond 2026 年 2 月 17 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージroundcube CVE ID CVE-2026-25916 CVE-2026-26079 Debian バグ1127447

    CERT Polska 氏と nullcathedral は、IMAP サーバー用の skinnable AJAX ベースの webmail ソリューションである roundcube がリクエストを正しく処理せず、サニタイズしないことを発見しました。これにより、攻撃者が CSS インジェクション攻撃を実行したり、機密情報を漏洩したりする可能性があります。

    旧安定版oldstableディストリビューションbookword では、これらの問題はバージョン 1.6.5+dfsg-1+deb12u7 で修正されています。

    安定版stableディストリビューションtrixieでは、これらの問題はバージョン 1.6.13+dfsg-0+deb13u1 で修正されています。

    お使いの roundcube パッケージをアップグレードすることを推奨します。

    roundcube の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
    https://security-tracker.debian.org/tracker/roundcube

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote Debian 11 host has packages installed that are affected by multiple vulnerabilities as referenced in the dla-4480 advisory.

    -------------------------------------------------------------------------     Debian LTS Advisory DLA-4480-1                debian-lts@lists.debian.org     https://www.debian.org/lts/security/                       Guilhem Moulin     February 17, 2026                             https://wiki.debian.org/LTS
    -------------------------------------------------------------------------

    Package        : roundcube     Version        : 1.4.15+dfsg.1-1+deb11u7     CVE ID         : CVE-2026-25916 CVE-2026-26079     Debian Bug     : 1127447

    Vulnerabilities were discovered in Roundcube, a skinnable AJAX based     webmail solution for IMAP servers, which might lead to information     disclosure or privilege escalation.

    CVE-2026-25916

        NULL CATHEDRAL discovered that the HTML sanitizer doesn't treat SVG         `<feImage href=>` as an image source.  This allows attackers to         bypass remote image blocking to track email open action or         potentially bypass access control.

    CVE-2026-26079

        CERT Polska discovered that CSS code in text/html emails were         insufficiently sanitized, allowing an attacker to inject malicious         stylesheet rules.

    For Debian 11 bullseye, these problems have been fixed in version     1.4.15+dfsg.1-1+deb11u7.

    We recommend that you upgrade your roundcube packages.

    For the detailed security status of roundcube please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/roundcube

    Further information about Debian LTS security advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://wiki.debian.org/LTS     Attachment:
    signature.asc     Description: PGP signature

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote openSUSE 16 host has a package installed that is affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:20323-1 advisory.

    Changes to roundcubemail:

    Update to 1.6.13:

      This is a security update to the stable version 1.6 of Roundcube Webmail.
      It provides fixes to recently reported security vulnerabilities:
      - Fix CSS injection vulnerability reported by CERT Polska (boo#1258052,         CVE-2026-26079).
      - Fix remote image blocking bypass via SVG content reported by nullcathedral         (boo#1257909, CVE-2026-25916).

      This version is considered stable and we recommend to update all productive       installations of Roundcube 1.6.x with it. Please do backup your data       before updating!

      CHANGELOG
      - Managesieve: Fix handling of string-list format values for date         tests in Out of Office (#10075)
      - Fix CSS injection vulnerability reported by CERT Polska.
      - Fix remote image blocking bypass via SVG content reported by nullcathedral.

    Update to 1.6.12:

      This is a security update to the stable version 1.6 of Roundcube Webmail.
      It provides fixes to recently reported security vulnerabilities:

      - Fix Cross-Site-Scripting vulnerability via SVG's animate tag         reported by Valentin T., CrowdStrike (boo#1255308, CVE-2025-68461).
      - Fix Information Disclosure vulnerability in the HTML style         sanitizer reported by somerandomdev (boo#1255306, CVE-2025-68460).

      This version is considered stable and we recommend to update all       productive installations of Roundcube 1.6.x with it.

      - Support IPv6 in database DSN (#9937)
      - Don't force specific error_reporting setting
      - Fix compatibility with PHP 8.5 regarding array_first()
      - Remove X-XSS-Protection example from .htaccess file (#9875)
      - Fix Assign to group action state after creation of a first group (#9889)
      - Fix bug where contacts search would fail if contactlist_fields contained vcard fields (#9850)
      - Fix bug where an mbox export file could include inconsistent message delimiters (#9879)
      - Fix parsing of inline styles that aren't well-formatted (#9948)
      - Fix Cross-Site-Scripting vulnerability via SVG's animate tag
      - Fix Information Disclosure vulnerability in the HTML style sanitizer

    Update to 1.6.11

      This is a security update to the stable version 1.6 of Roundcube Webmail.
      It provides fixes to recently reported security vulnerabilities:
      * Fix Post-Auth RCE via PHP Object Deserialization reported by firs0v.

    - CHANGELOG
      * Managesieve: Fix match-type selector (remove unsupported options) in delete header action (#9610)
      * Improve installer to fix confusion about disabling SMTP authentication (#9801)
      * Fix PHP warning in index.php (#9813)
      * OAuth: Fix/improve token refresh
      * Fix dark mode bug where wrong colors were used for blockquotes in HTML mail preview (#9820)
      * Fix HTML message preview if it contains floating tables (#9804)
      * Fix removing/expiring redis/memcache records when using a key prefix
      * Fix bug where a wrong SPECIAL-USE folder could have been detected, if there were more than one per-     type (#9781)
      * Fix a default value and documentation of password_ldap_encodage option (#9658)
      * Remove mobile/floating Create button from the list in Settings > Folders (#9661)
      * Fix Delete and Empty buttons state while creating a folder (#9047)
      * Fix connecting to LDAP using ldapi:// URI (#8990)
      * Fix cursor position on below the quote reply in HTML mode (#8700)
      * Fix bug where attachments with content type of application/vnd.ms-tnef were not parsed (#7119)

    Update to 1.6.10:

      This is the next service release to update the stable version 1.6.
      * IMAP: Partial support for ANNOTATE-EXPERIMENT-1 extension (RFC 5257)
      * OAuth: Support standard authentication with short-living password received with OIDC token (#9530)
      * Fix PHP warnings (#9616, #9611)
      * Fix whitespace handling in vCard line continuation (#9637)
      * Fix current script state after initial scripts creation in managesieve_kolab_master mode
      * Fix rcube_imap::get_vendor() result (and PHP warning) on Zimbra server (#9650)
      * Fix regression causing inline SVG images to be missing in mail preview (#9644)
      * Fix plugin virtuser_file to handle backward slashes in username (#9668)
      * Fix PHP fatal error when parsing some malformed BODYSTRUCTURE responses (#9689)
      * Fix insert_or_update() and reading database server config on PostgreSQL (#9710)
      * Fix Oauth issues with use_secure_urls=true (#9722)
      * Fix handling of binary mail parts (e.g. PDF) encoded with quoted-printable (#9728)
      * Fix links in comments and config to https:// where available (#9759, #9756)
      * Fix decoding of attachment names encoded using both RFC2231 and RFC2047 standards (#9725)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote web server is running Roundcube Webmail version 1.5.x prior to 1.5.13 or 1.6.x prior to 1.6.13. It is, therefore, affected by multiple vulnerabilities:

  - A Cascading Style Sheets (CSS) injection vulnerability exists due to mishandling of comments. A remote attacker     could exploit this to inject arbitrary CSS. (CVE-2026-26079)

  - A remote image blocking bypass exists because SVG feImage elements are not blocked when the 'Block remote images'     setting is used. A remote attacker could exploit this to load remote images. (CVE-2026-25916)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Roundcube Webmail before 1.5.13 and 1.6 before 1.6.13, when Block remote images is used, does not block     SVG feImage. (CVE-2026-25916)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote Debian 12 / 13 host has packages installed that are affected by multiple vulnerabilities as referenced in the dsa-6137 advisory.

    - -------------------------------------------------------------------------     Debian Security Advisory DSA-6137-1                   security@debian.org     https://www.debian.org/security/                       Sebastien Delafond     February 17, 2026                     https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    Package        : roundcube     CVE ID         : CVE-2026-25916 CVE-2026-26079     Debian Bug     : 1127447

    CERT Polska and nullcathedral discovered that roundcube, a skinnable     AJAX based webmail solution for IMAP servers, did not correctly     process and sanitize requests. This would allow an attacker to perform     CSS injection attacks, or leak sensitive information.

    For the oldstable distribution (bookworm), these problems have been fixed     in version 1.6.5+dfsg-1+deb12u7.

    For the stable distribution (trixie), these problems have been fixed in     version 1.6.13+dfsg-0+deb13u1.

    We recommend that you upgrade your roundcube packages.

    For the detailed security status of roundcube please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/roundcube

    Further information about Debian Security Advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://www.debian.org/security/

    Mailing list: debian-security-announce@lists.debian.org

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
299289	Debian dla-4480roundcube - 安全性更新	Nessus	Debian Local Security Checks	2026/2/17	2026/2/17	medium
298770	Roundcube Webmail 1.5.x < 1.5.13 / 1.6.x < 1.6.13 多個弱點	Nessus	CGI abuses	2026/2/12	2026/2/13	medium
298453	Linux Distros 未修補的弱點：CVE-2026-25916	Nessus	Misc.	2026/2/10	2026/4/29	medium
298770	Roundcube Webmail 1.5.x < 1.5.13/1.6.x < 1.6.13 多个漏洞	Nessus	CGI abuses	2026/2/12	2026/2/13	medium
298453	Linux Distros 未修补的漏洞：CVE-2026-25916	Nessus	Misc.	2026/2/10	2026/4/29	medium
299290	Debian dsa-6137roundcube - 安全性更新	Nessus	Debian Local Security Checks	2026/2/17	2026/2/17	medium
299290	Debian dsa-6137roundcube - 安全更新	Nessus	Debian Local Security Checks	2026/2/17	2026/2/17	medium
299289	Debian dla-4480roundcube - 安全更新	Nessus	Debian Local Security Checks	2026/2/17	2026/2/17	medium
298770	Roundcube Webmail 1.5.x < 1.5.13 / 1.6.x < 1.6.13 の複数の脆弱性	Nessus	CGI abuses	2026/2/12	2026/2/13	medium
298453	Linux Distros のパッチ未適用の脆弱性: CVE-2026-25916	Nessus	Misc.	2026/2/10	2026/4/29	medium
299289	Debian dla-4480roundcube - セキュリティ更新	Nessus	Debian Local Security Checks	2026/2/17	2026/2/17	medium
301453	openSUSE 16 セキュリティ更新roundcubemailopenSUSE-SU-2026:20323-1	Nessus	SuSE Local Security Checks	2026/3/7	2026/3/7	high
299290	Debian dsa-6137 : roundcube - セキュリティ更新	Nessus	Debian Local Security Checks	2026/2/17	2026/2/17	medium
299289	Debian dla-4480 : roundcube - security update	Nessus	Debian Local Security Checks	2026/2/17	2026/2/17	medium
301453	openSUSE 16 Security Update : roundcubemail (openSUSE-SU-2026:20323-1)	Nessus	SuSE Local Security Checks	2026/3/7	2026/3/7	high
298770	Roundcube Webmail 1.5.x < 1.5.13 / 1.6.x < 1.6.13 Multiple Vulnerabilities	Nessus	CGI abuses	2026/2/12	2026/2/13	medium
298453	Linux Distros Unpatched Vulnerability : CVE-2026-25916	Nessus	Misc.	2026/2/10	2026/4/29	medium
299290	Debian dsa-6137 : roundcube - security update	Nessus	Debian Local Security Checks	2026/2/17	2026/2/17	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

high

medium

medium

high

medium

medium

medium