Roundcube 開發團隊於 2026 年 11 月 9 日發布 Webmail 1.6 LTS 的 1.6.21 與 1.7 系列的 1.7.6 安全更新，修補近期通報的多項安全漏洞 [1]。修補項目包括啟用訊息快取時可經 _uid 參數 CRLF 注入 IMAP 指令、CSS 代理 SSRF 過濾可被 nip.io/sslip.io 與 6to4 位址繞過、Sieve 腳本注入及多項 CSRF 驗證繞過；Security NEXT 報導官方公告未提及具體 CVE 編號，共修正 17 項 [1][2]。架設 Roundcube Webmail 的組織應儘速升級至 1.6.21 或 1.7.6，開發團隊強烈建議更新 [1][2]。
中監控中官方確認
Roundcube Webmail 推出 1.6.21 與 1.7.6，一次修補 IMAP 注入、SSRF 繞過等 17 項安全問題
閱讀約 1 分鐘
- 揭露
- 2026年11月9日
- 發布
- 2026年11月11日
- 最後更新
- 2026年11月10日
- CVSS 依據
- 本站評估
- 利用與修補狀態
- 已有修補
- 技術 / 系統類型
- 初始入侵方式
- 漏洞狀態
- 攻擊者類型
本頁內容
30 秒摘要
受影響範圍
| 受影響範圍 | 版本 | 修補版本 | |
|---|---|---|---|
| Roundcube Roundcube Webmail | unknown[1] | 1.6.21 / 1.7.6 | ✓ 已修補 |
我有用這個產品嗎？
把產品加入你的系統清單，之後有相關通報或重大進展會寄信通知你。
事件時間軸
- Roundcube 發布 1.6.21 與 1.7.6 安全更新[1]
技術細節
發生什麼
Roundcube 於 11 月 9 日發布 1.6.21 與 1.7.6 安全更新，表示兩者皆包含近期通報安全漏洞的修補 [1]。
修補內容
官方列出的修補包括：附件取得時 IMAP 錯誤復原造成的開放重新導向、啟用 messages_cache 時經 _uid 參數 CRLF 的 IMAP 指令注入、CSS 代理中 is_local_url() 可被 nip.io/sslip.io 及 6to4（2002::/16）位址繞過的 SSRF、Sieve 規則運算子與 set/include 修飾詞的腳本注入、managesieve 可被跨站 GET 觸發的破壞性操作、僅含檔案的 POST 與郵件清除指令的 CSRF 驗證繞過、MDN 主旨郵件標頭注入，以及 rcube_session::unserialize() 負長度權杖造成的 CPU 無限迴圈 DoS 等 [1]。
補充
Security NEXT 報導，公告未提及具體 編號，共進行 17 項修正，開發團隊強烈建議更新 [2]。
修復指引
參考來源
官方 / 一級來源1
- [1]
“We just published security updates to the 1.6 LTS and 1.7 versions of Roundcube Webmail.”
媒體報導1
- [2]
本站內容為公開資訊整理，不構成資安顧問建議；修復步驟請先於測試環境驗證。