CVE catalog

CVE-2026-114726

roundcube: CVE-2026-114726

[CVE catalog]

Severity
Medium · CVSS 5.8CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:L/A:N
Published
Source
[NVD] · [CVE record]
EPSS
0.33% · Oct 25, 2026

Roundcube Webmail before 1.6.20 and 1.7.x before 1.7.5 is affected by a mail header injection vulnerability in the Bounce (resend) action. rcube_mime::decode_address_list() did not strip control characters from the decoded display name, so a received message whose From display-name carries CRLF sequences in an encoded word could inject arbitrary headers into the message emitted when the user bounces it. Upstream fixed this in the commit “Fix mail header injection via the From display-name in the Bounce (resend) action”.

Vulnerable and fixed packages

Distribution-reported package versions and fixes. These do not depend on matching against the OpenFactory package catalog.

DistributionPackageReleaseVersionStatus
Debianroundcubesid1.6.20+dfsg-1fixed
Debianroundcubeforky1.6.20+dfsg-1fixed
Debianroundcubetrixie1.6.18+dfsg-0+deb13u1vulnerable
Debianroundcubetrixie-security1.6.20+dfsg-0+deb13u1fixed
Debianroundcubebookworm1.6.5+dfsg-1+deb12u9vulnerable
Debianroundcubebookworm-security1.6.5+dfsg-1+deb12u12vulnerable
Ubunturoundcubepro1.6.11+dfsg-1vulnerable
Ubunturoundcubepro1.6.11+dfsg-1ubuntu0.26.04.1~esm1vulnerable
Ubunturoundcube26.101.6.11+dfsg-1vulnerable

Fixed-version evidence

DistributionPackageTypeReleaseFixed versionUrgencyOriginBugs
Debianroundcubesourcesid1.6.20+dfsg-1not yet assignedNot reported[1151279]
Debianroundcubesourceforky1.6.20+dfsg-1not yet assignedNot reported[1151279]
Debianroundcubesourcetrixie1.6.20+dfsg-0+deb13u1not yet assignedNot reported[1151279]
Debianroundcubesourcebookworm(unfixed)not yet assignedNot reported[1151279]

[Debian bug #1151279]

OpenFactory catalog packages

[Debian 12 (Bookworm)]

  • [roundcube]Affected
    Details (4)

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

  • [roundcube-core]Affected

    Source package: [roundcube]

    Details (4)

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

  • [roundcube-mysql]Affected

    Source package: [roundcube]

    Details (4)

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

  • [roundcube-pgsql]Affected

    Source package: [roundcube]

    Details (4)

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

  • [roundcube-plugins]Affected

    Source package: [roundcube]

    Details (4)

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

  • [roundcube-sqlite3]Affected

    Source package: [roundcube]

    Details (4)

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

[Debian 13 (Trixie)]

  • [roundcube]Affected
    Details (7)

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.17+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.19+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.20+dfsg-0+deb13u1 · all · trixie-security

      Fixed · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

  • [roundcube-core]Affected

    Source package: [roundcube]

    Details (7)

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.17+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.19+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.20+dfsg-0+deb13u1 · all · trixie-security

      Fixed · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

  • [roundcube-mysql]Affected

    Source package: [roundcube]

    Details (7)

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.17+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.19+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.20+dfsg-0+deb13u1 · all · trixie-security

      Fixed · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

  • [roundcube-pgsql]Affected

    Source package: [roundcube]

    Details (7)

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.17+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.19+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.20+dfsg-0+deb13u1 · all · trixie-security

      Fixed · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

  • [roundcube-plugins]Affected

    Source package: [roundcube]

    Details (7)

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.17+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.19+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.20+dfsg-0+deb13u1 · all · trixie-security

      Fixed · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

  • [roundcube-sqlite3]Affected

    Source package: [roundcube]

    Details (7)

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.17+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.19+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.20+dfsg-0+deb13u1 · all · trixie-security

      Fixed · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

Observed:

References

[Debian Security Tracker] · [FIRST EPSS] · [National Vulnerability Database (NVD)] · [OSV Package Vulnerability Database]