CVE catalog

CVE-2026-114728

roundcube: CVE-2026-114728

[CVE catalog]

Severity
Medium · CVSS 5.3CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Published
Source
[NVD] · [CVE record]
EPSS
0.38% · Oct 25, 2026

Roundcube Webmail before 1.6.20 and 1.7.x before 1.7.5 is affected by a remote content blocking bypass in the handling of FuncIRI attributes. rcube_washtml detected the CSS url() token with a pattern that enumerated only some of its escaped spellings, so values using other CSS escape sequences, for example \000075rl( or u\72 l(, were not recognized and remote content was loaded from an HTML message without the user's consent. Upstream fixed this in the commit “Fix remote content blocking bypass via CSS escapes in FuncIRI attributes (again)”, which resolves CSS escapes before matching and also inspects the `to`, `from` and `by` attributes.

Vulnerable and fixed packages

Distribution-reported package versions and fixes. These do not depend on matching against the OpenFactory package catalog.

DistributionPackageReleaseVersionStatus
Debianroundcubesid1.6.20+dfsg-1fixed
Debianroundcubeforky1.6.20+dfsg-1fixed
Debianroundcubetrixie1.6.18+dfsg-0+deb13u1vulnerable
Debianroundcubetrixie-security1.6.20+dfsg-0+deb13u1fixed
Debianroundcubebookworm1.6.5+dfsg-1+deb12u9vulnerable
Debianroundcubebookworm-security1.6.5+dfsg-1+deb12u12vulnerable
Ubunturoundcubepro1.6.11+dfsg-1vulnerable
Ubunturoundcubepro1.6.11+dfsg-1ubuntu0.26.04.1~esm1vulnerable
Ubunturoundcube26.101.6.11+dfsg-1vulnerable

Fixed-version evidence

DistributionPackageTypeReleaseFixed versionUrgencyOriginBugs
Debianroundcubesourcesid1.6.20+dfsg-1not yet assignedNot reported[1151279]
Debianroundcubesourceforky1.6.20+dfsg-1not yet assignedNot reported[1151279]
Debianroundcubesourcetrixie1.6.20+dfsg-0+deb13u1not yet assignedNot reported[1151279]
Debianroundcubesourcebookworm(unfixed)not yet assignedNot reported[1151279]

[Debian bug #1151279]

OpenFactory catalog packages

[Debian 12 (Bookworm)]

  • [roundcube]Affected
    Details (4)

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

  • [roundcube-core]Affected

    Source package: [roundcube]

    Details (4)

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

  • [roundcube-mysql]Affected

    Source package: [roundcube]

    Details (4)

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

  • [roundcube-pgsql]Affected

    Source package: [roundcube]

    Details (4)

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

  • [roundcube-plugins]Affected

    Source package: [roundcube]

    Details (4)

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

  • [roundcube-sqlite3]Affected

    Source package: [roundcube]

    Details (4)

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u9 · all · bookworm

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

    • 1.6.5+dfsg-1+deb12u11 · all · bookworm-security

      Affected

      dsa · roundcube · debian · bookworm; dsa · roundcube · debian · 12

[Debian 13 (Trixie)]

  • [roundcube]Affected
    Details (7)

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.17+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.19+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.20+dfsg-0+deb13u1 · all · trixie-security

      Fixed · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

  • [roundcube-core]Affected

    Source package: [roundcube]

    Details (7)

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.17+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.19+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.20+dfsg-0+deb13u1 · all · trixie-security

      Fixed · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

  • [roundcube-mysql]Affected

    Source package: [roundcube]

    Details (7)

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.17+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.19+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.20+dfsg-0+deb13u1 · all · trixie-security

      Fixed · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

  • [roundcube-pgsql]Affected

    Source package: [roundcube]

    Details (7)

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.17+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.19+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.20+dfsg-0+deb13u1 · all · trixie-security

      Fixed · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

  • [roundcube-plugins]Affected

    Source package: [roundcube]

    Details (7)

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.17+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.19+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.20+dfsg-0+deb13u1 · all · trixie-security

      Fixed · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

  • [roundcube-sqlite3]Affected

    Source package: [roundcube]

    Details (7)

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.16+dfsg-0+deb13u1 · all · trixie

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.17+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.18+dfsg-0+deb13u1 · all · trixie-security

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.19+dfsg-0+deb13u1 · all · trixie-security · Historical version

      Affected · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

    • 1.6.20+dfsg-0+deb13u1 · all · trixie-security

      Fixed · Fixed: 1.6.20+dfsg-0+deb13u1

      dsa · roundcube · debian · 13

Observed:

References

[Debian Security Tracker] · [FIRST EPSS] · [National Vulnerability Database (NVD)] · [OSV Package Vulnerability Database]