CVE catalog

CVE-2026-114727

roundcube: CVE-2026-114727

[CVE catalog]

Severity
High · CVSS 8.3CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:L
Published
Source
[NVD] · [CVE record]
EPSS
0.33% · Oct 25, 2026

Roundcube Webmail before 1.6.20 and 1.7.x before 1.7.5 passes potentially unsafe content into ImageMagick when resizing images. SVG and EPS were accepted as valid image types for contact photo upload and conversion, and both formats can reference external resources and invoke ImageMagick delegates when processed. Upstream fixed this in the commit “Fix passing potentally unsafe attachment content into ImageMagick on image resize”, which removes svg and eps from the accepted types.

Vulnerable and fixed packages

Distribution-reported package versions and fixes. These do not depend on matching against the OpenFactory package catalog.

DistributionPackageReleaseVersionStatus
Debianroundcubesid1.6.20+dfsg-1fixed
Debianroundcubeforky1.6.20+dfsg-1fixed
Debianroundcubetrixie1.6.18+dfsg-0+deb13u1vulnerable
Debianroundcubetrixie-security1.6.20+dfsg-0+deb13u1fixed
Debianroundcubebookworm1.6.5+dfsg-1+deb12u9vulnerable
Debianroundcubebookworm-security1.6.5+dfsg-1+deb12u12vulnerable
Ubunturoundcubepro1.6.11+dfsg-1vulnerable
Ubunturoundcubepro1.6.11+dfsg-1ubuntu0.26.04.1~esm1vulnerable
Ubunturoundcube26.101.6.11+dfsg-1vulnerable

Fixed-version evidence

DistributionPackageTypeReleaseFixed versionUrgencyOriginBugs
Debianroundcubesourcesid1.6.20+dfsg-1not yet assignedNot reported[1151279]
Debianroundcubesourceforky1.6.20+dfsg-1not yet assignedNot reported[1151279]
Debianroundcubesourcetrixie1.6.20+dfsg-0+deb13u1not yet assignedNot reported[1151279]
Debianroundcubesourcebookworm(unfixed)not yet assignedNot reported[1151279]

[Debian bug #1151279]

OpenFactory catalog packages

[Debian 12 (Bookworm)]

  • [roundcube]Affected
    Details (4)

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

  • [roundcube-core]Affected

    Source package: [roundcube]

    Details (4)

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

  • [roundcube-mysql]Affected

    Source package: [roundcube]

    Details (4)

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

  • [roundcube-pgsql]Affected

    Source package: [roundcube]

    Details (4)

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

  • [roundcube-plugins]Affected

    Source package: [roundcube]

    Details (4)

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

  • [roundcube-sqlite3]Affected

    Source package: [roundcube]

    Details (4)

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

[Debian 13 (Trixie)]

  • [roundcube]Affected
    Details (7)

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.17+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.19+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.20+dfsg-0+deb13u1 · all · trixie-security

      Fixed · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

  • [roundcube-core]Affected

    Source package: [roundcube]

    Details (7)

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.17+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.19+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.20+dfsg-0+deb13u1 · all · trixie-security

      Fixed · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

  • [roundcube-mysql]Affected

    Source package: [roundcube]

    Details (7)

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.17+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.19+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.20+dfsg-0+deb13u1 · all · trixie-security

      Fixed · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

  • [roundcube-pgsql]Affected

    Source package: [roundcube]

    Details (7)

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.17+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.19+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.20+dfsg-0+deb13u1 · all · trixie-security

      Fixed · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

  • [roundcube-plugins]Affected

    Source package: [roundcube]

    Details (7)

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.17+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.19+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.20+dfsg-0+deb13u1 · all · trixie-security

      Fixed · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

  • [roundcube-sqlite3]Affected

    Source package: [roundcube]

    Details (7)

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.17+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.19+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.20+dfsg-0+deb13u1 · all · trixie-security

      Fixed · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

Observed:

References

[Debian Security Tracker] · [FIRST EPSS] · [National Vulnerability Database (NVD)] · [OSV Package Vulnerability Database] · [Red Hat security advisories and VEX]