远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4480 公告中提及的多个漏洞的影响。

    -------------------------------------------------- ----------------------- Debian LTS 公告 DLA-4480-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2026 年 2 月 17 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包roundcube版本: 1.4.15+dfsg.1-1+deb11u7 CVE ID CVE-2026-25916 CVE-2026-26079 Debian 缺陷1127447

    在 RoundcubeIMAP 服务器基于 Skinnable AJAX 的 webmail 解决方案中发现漏洞可能导致信息泄露或权限升级。

    CVE-2026-25916

        NULL CATHEDRAL 发现 HTML 审查器未将 SVG `<feImage href=> ` 作为图像源。这允许攻击者绕过远程图像阻断以跟踪电子邮件打开操作或可能绕过访问控制。

    CVE-2026-26079

        CERT Polska 发现text/html 电子邮件中的 CSS 代码未得到充分审查这允许攻击者注入恶意样式表规则。

    对于 Debian 11 Bullseye这些问题已在 1.4.15+dfsg.1-1+deb11u7 版本中修复。

    建议您升级 roundcube 程序包。

    如需了解 roundcube 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/roundcube

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 / 13 主机上存在安装的程序包该程序包受到 dsa-6137 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-6137-1 security@debian.org https://www.debian.org/security/Sebastien Delafond 2026 年 2 月 17 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包roundcube CVE ID CVE-2026-25916 CVE-2026-26079 Debian 缺陷1127447

    CERT Polska 和 nullcathedral 发现 roundcube用于 IMAP 服务器的基于 skinnable AJAX 的 webmail 解决方案未正确处理和清理请求。这将允许攻击者执行 CSS 注入攻击或泄漏敏感信息。

    对于旧稳定发行版本 (bookbird)这些问题已在版本 1.6.5+dfsg-1+deb12u7 中修复。

    对于稳定发行版本 (trixie)这些问题已在版本 1.6.13+dfsg-0+deb13u1 中修复。

    建议您升级 roundcube 程序包。

    如需了解 roundcube 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/roundcube

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 低于 1.5.13 的Roundcube Webmail 和低于 1.6.13 [] 的 1.6 的Roundcube Webmail 允许层叠样式表 (CSS) 注入例如因为不当处理注释所致。 (CVE-2026-26079)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Web 服务器上运行的 Roundcube Webmail 版本为低于 1.5.13 的 1.5.x 或低于 1.6.13 的 1.6.x。因此，该应用程序受到多个漏洞的影响：

  - 存在一个层叠样式表 (CSS) 注入漏洞这是因为不当处理注释所致。远程攻击者可利用此问题注入任意 CSS。 (CVE-2026-26079)

  - 存在一个远程图像阻止绕过原因是使用“阻止远程图像”设置时未阻止 SVG feImage 元素。远程攻击者可利用此问题加载远程图像。 (CVE-2026-25916)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 16.04 LTS/18.04 LTS/20.04 LTS/22.04 LTS/24.04 LTS 主机上安装的多个程序包受到公告 USN-8223-1 中提及的多个漏洞影响。

    后来发现Roundcube Webmail对Punycode xn域名的处理不当。攻击者可能会利用这个问题引发同形攻击。（CVE-2019-15237）

    发现Roundcube Webmail在处理HTML消息中的CSS和某些SVG属性时，未能正确净化某些属性。攻击者可能会利用这个问题引发跨站脚本攻击。（CVE-2024-38356， CVE-2024-38357）

    发现Roundcube Webmail在渲染电子邮件时未能正确净化某些HTML属性。攻击者可能会利用这个问题引发跨站脚本攻击。
    (CVE-2024-42008)

    发现Roundcube Webmail未能正确过滤渲染邮件中的某些CSS令牌序列。攻击者可能利用此问题获取敏感信息。
    (CVE-2024-42010)

    发现Roundcube Webmail在其HTML净化器中未能正确将SVG标签视为图像源。攻击者可能利用此问题绕过远程图像屏蔽，追踪邮件开启行为，甚至绕过访问控制。（CVE-2026-25916）

    发现 Roundcube Webmail 未能正确处理层叠样式表（CSS）中的注释。攻击者可能会利用此问题进行CSS注入攻击。（CVE-2026-26079）

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
299289	Debian dla-4480roundcube - 安全更新	Nessus	Debian Local Security Checks	2026/2/17	2026/4/30	medium
299290	Debian dsa-6137roundcube - 安全更新	Nessus	Debian Local Security Checks	2026/2/17	2026/4/30	medium
298655	Linux Distros 未修补的漏洞：CVE-2026-26079	Nessus	Misc.	2026/2/11	2026/4/30	medium
298770	Roundcube Webmail 1.5.x < 1.5.13/1.6.x < 1.6.13 多个漏洞	Nessus	CGI abuses	2026/2/12	2026/4/30	medium
311109	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / LTS ： 24.04 Roundcube Webmail 漏洞（USN-8223-1）	Nessus	Ubuntu Local Security Checks	2026/4/30	2026/4/30	medium

检测

插件搜索

medium

medium

medium

medium

medium