Alert GCSA-26102 - Vulnerabilita' in Roundcube Webmail

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA256

******************************************************************

   alert ID: GCSA-26102
       data: 31 maggio 2026
     titolo: Vulnerabilita' in Roundcube Webmail

******************************************************************

:: Descrizione del problema

   Sono state rilasciate nuove versioni del prodotto Roundcube Webmail,
   per risolvere 8 vulnerabilita', delle quali 4 di gravita' "alta".

   Maggiori informazioni sono disponibili alla sezione "Riferimenti".


:: Software / Dispositivi interessati

   Roundcube Webmail versioni precedenti alla 1.6.16
   Roundcube Webmail versioni precedenti alla 1.7.1


:: Impatto

   Attacco all'integrita' dei dati (Data Manipulation)
   Attacco alla confidenzialita' dei dati (ID)
   Bypass delle funzionalita' di sicurezza (SFB)
   Esecuzione remota di codice arbitrario (RCE)
   Server-side Request Forgery (SSRF)
   SQL Injection (SQLi)


:: Soluzioni

   Aggiornare il prodotto alle ultime versioni

   https://github.com/roundcube/roundcubemail/releases/tag/1.6.16
   https://github.com/roundcube/roundcubemail/releases/tag/1.7.1

   Se non e' possibile aggiornare, si consiglia di limitare l'accesso all'interfaccia webmail,
   disattivare l'upload dei file, aggiungere la protezione agli attacchi CSRF,
   bloccare le funzioni PHP rischiose e monitorare gli indicatori di exploit.


:: Riferimenti

   Security updates 1.6.16 and 1.7.1 released
   https://roundcube.net/news/2026/05/24/security-updates-1.6.16-and-1.7.1

   Debian security advisory
   https://lists.debian.org/debian-security-announce/2026/msg00212.html
   https://lists.debian.org/debian-lts-announce/2026/05/msg00048.html
   https://security-tracker.debian.org/tracker/DSA-6301-1

   Riferimenti CVE
   https://www.cve.org/CVERecord?id=CVE-2026-48842
   https://www.cve.org/CVERecord?id=CVE-2026-48843
   https://www.cve.org/CVERecord?id=CVE-2026-48844
   https://www.cve.org/CVERecord?id=CVE-2026-48845
   https://www.cve.org/CVERecord?id=CVE-2026-48846
   https://www.cve.org/CVERecord?id=CVE-2026-48847
   https://www.cve.org/CVERecord?id=CVE-2026-48848
   https://www.cve.org/CVERecord?id=CVE-2026-48849


GARR CERT Security Alert - subscribe/unsubscribe:
https://www.cert.garr.it/alert/ricevi-gli-alert-di-cert

-----BEGIN PGP SIGNATURE-----

iF0EAREIAB0WIQTGpdiR5MqstacBGHbBnEyTZRJgQgUCahw1LAAKCRDBnEyTZRJg
QiobAKC92fJiJdy10DiNsVjNFiww+RPzxQCfdMFiR3InS+deot266Sxwg7QklaA=
=QiVF
-----END PGP SIGNATURE-----