【要点】
◎Roundcube Webmailは複数の脆弱性を修正する更新版を公開した。格納型XSSやSSRF回避、TNEF処理の不具合などへの対策が含まれる (Security NEXT)
【要約】
Roundcube Webmail開発チームは、セキュリティ更新版「1.7.2」と「1.6.17」を公開し、複数の脆弱性を修正した。添付ファイルのMIMEタイプ処理に起因する格納型XSS（CVE-2026-54432）や、プレーンテキスト表示時にユーザー操作なしでスクリプトを実行できる格納型XSS（CVE-2026-54433）に対応した。また、TNEFファイルデコーダにおける無限ループや細工したTNEFファイルによるサービス拒否、パスワードプラグインのセッション操作に関する複数の問題、さらにローカルアドレスを悪用したSSRF回避手法2件も修正している。利用者には変更内容を確認のうえ、速やかに最新版へ更新することが推奨されている。
【ニュース】
◆ウェブメール「Roundcube」、アップデートで複数脆弱性を修正 (Security NEXT, 2026/07/06)
https://www.security-next.com/186824
