CVE catalog

CVE-2018-9846

roundcube: CVE-2018-9846

[CVE catalog]

Severity
High · CVSS 8.8CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Published
Source
[NVD] · [CVE record]
EPSS
2.28% · Oct 25, 2026

In Roundcube from versions 1.2.0 to 1.3.5, with the archive plugin enabled and configured, it's possible to exploit the unsanitized, user-controlled "_uid" parameter (in an archive.php _task=mail&_mbox=INBOX&_action=plugin.move2archive request) to perform an MX (IMAP) injection attack by placing an IMAP command after a %0d%0a sequence. NOTE: this is less easily exploitable in 1.3.4 and later because of a Same Origin Policy protection mechanism.

Vulnerable and fixed packages

Distribution-reported package versions and fixes. These do not depend on matching against the OpenFactory package catalog.

DistributionPackageReleaseVersionStatus
Debianroundcubesid1.6.20+dfsg-1fixed
Debianroundcubeforky1.6.20+dfsg-1fixed
Debianroundcubetrixie1.6.18+dfsg-0+deb13u1fixed
Debianroundcubetrixie-security1.6.20+dfsg-0+deb13u1fixed
Debianroundcubebookworm1.6.5+dfsg-1+deb12u9fixed
Debianroundcubebookworm-security1.6.5+dfsg-1+deb12u12fixed
Ubunturoundcubepro1.1.1+dfsg.1-2vulnerable
Ubunturoundcubepro1.1.2+dfsg.1-5vulnerable
Ubunturoundcubepro1.1.3+dfsg.1-1vulnerable
Ubunturoundcubepro1.1.4+dfsg.1-1vulnerable
Ubunturoundcubepro1.2~beta+dfsg.1-0ubuntu1vulnerable
Ubunturoundcubepro1.2~beta+dfsg.1-0ubuntu1+esm1vulnerable
Ubunturoundcubepro1.2~beta+dfsg.1-0ubuntu1+esm2vulnerable
Ubunturoundcubepro1.2~beta+dfsg.1-0ubuntu1+esm3vulnerable
Ubunturoundcubepro1.2~beta+dfsg.1-0ubuntu1+esm4vulnerable
Ubunturoundcubepro1.2~beta+dfsg.1-0ubuntu1+esm5vulnerable
Ubunturoundcubepro1.2~beta+dfsg.1-0ubuntu1+esm6vulnerable
Ubunturoundcubepro1.2~beta+dfsg.1-0ubuntu1+esm7fixed

Fixed-version evidence

DistributionPackageTypeReleaseFixed versionUrgencyOriginBugs
Debianroundcubesourcesid1.3.6+dfsg.1-1not yet assignedNot reported[895184]
Debianroundcubesourceforky1.3.6+dfsg.1-1not yet assignedNot reported[895184]
Debianroundcubesourcetrixie1.3.6+dfsg.1-1not yet assignedNot reported[895184]
Debianroundcubesourcebookworm1.3.6+dfsg.1-1not yet assignedNot reported[895184]
Ubunturoundcubedebpro1.2~beta+dfsg.1-0ubuntu1+esm7Not reportedUBUNTU-CVE-2018-9846Not reported

[Debian bug #895184]

OpenFactory catalog packages

Matching against OpenFactory catalog package versions is in progress.

[Debian 12 (Bookworm)]

  • [roundcube]Unknown
    Details (4)

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

  • [roundcube-core]Unknown

    Source package: [roundcube]

    Details (4)

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

  • [roundcube-mysql]Unknown

    Source package: [roundcube]

    Details (4)

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

  • [roundcube-pgsql]Unknown

    Source package: [roundcube]

    Details (4)

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

  • [roundcube-plugins]Unknown

    Source package: [roundcube]

    Details (4)

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

  • [roundcube-sqlite3]Unknown

    Source package: [roundcube]

    Details (4)

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

[Debian 13 (Trixie)]

  • [roundcube]Unknown
    Details (7)

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · 13

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · 13

    • 1.6.17+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · 13

    • 1.6.19+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · 13

    • 1.6.20+dfsg-0+deb13u1 · all · trixie-security

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · 13

  • [roundcube-core]Unknown

    Source package: [roundcube]

    Details (7)

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · 13

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · 13

    • 1.6.17+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · 13

    • 1.6.19+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · 13

    • 1.6.20+dfsg-0+deb13u1 · all · trixie-security

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · 13

  • [roundcube-mysql]Unknown

    Source package: [roundcube]

    Details (7)

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · 13

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · 13

    • 1.6.17+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · 13

    • 1.6.19+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · 13

    • 1.6.20+dfsg-0+deb13u1 · all · trixie-security

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · 13

  • [roundcube-pgsql]Unknown

    Source package: [roundcube]

    Details (7)

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · 13

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · 13

    • 1.6.17+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · 13

    • 1.6.19+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · 13

    • 1.6.20+dfsg-0+deb13u1 · all · trixie-security

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · 13

  • [roundcube-plugins]Unknown

    Source package: [roundcube]

    Details (7)

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · 13

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · 13

    • 1.6.17+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · 13

    • 1.6.19+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · 13

    • 1.6.20+dfsg-0+deb13u1 · all · trixie-security

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · 13

  • [roundcube-sqlite3]Unknown

    Source package: [roundcube]

    Details (7)

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · 13

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · 13

    • 1.6.17+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · 13

    • 1.6.19+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · 13

    • 1.6.20+dfsg-0+deb13u1 · all · trixie-security

      Fixed · Fixed: 1.3.6+dfsg.1-1

      dsa · roundcube · debian · 13

Observed:

References

[Debian Security Tracker] · [FIRST EPSS] · [OSV Package Vulnerability Database] · [Red Hat security advisories and VEX] · [SUSE security advisories and VEX]