CVE-2026-114729 Omisión del bloqueo de contenido remoto en Roundcube Webmail vía atributo 'by' de SVG SMIL

Qué es CVE-2026-114729

rcube_washtml en Roundcube Webmail inspeccionaba los atributos de animación SVG SMIL to, from y values en busca de URIs, pero no by, por lo que cierto marcado en un mensaje HTML cargaba contenido remoto sin consentimiento del usuario, revelando la IP del cliente y confirmando la apertura del mensaje. Corregido en 1.6.20 y 1.7.5.

Productos y versiones afectadas

• Roundcube Webmail

  • desde 1.6.0 hasta antes de 1.6.20
  • desde 1.7.0 hasta antes de 1.7.5

Qué hacer

1. Verificá si usás Webmail y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 5.3 MEDIA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Baja

INTEGRIDAD (I)

Ninguna

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

Roundcube Webmail before 1.6.20 and 1.7.x before 1.7.5 is affected by a remote content blocking bypass. rcube_washtml inspected the SVG SMIL animation attributes `to`, `from` and values for URIs, but not `by`; so markup such as in an HTML message caused remote content to be loaded without the user's consent, disclosing the client IP address and confirming that the message was opened. Upstream fixed this in the commit “Fix remote-content blocker bypass via SVG SMIL `by` attribute”.

Referencias

• bugs.debian.org/1151279ISSUE-TRACKING · THIRD-PARTY-ADVISORY
• github.com/roundcube/roundcubemail/commit/96d993b4ac57166a094b5774f4761e0b905d9a05PATCH
• roundcube.net/news/2026/10/19/security-updates-1.6.20-and-1.7.5VENDOR-ADVISORY · RELEASE-NOTES
• github.com/roundcube/roundcubemail/releases/tag/1.7.5RELEASE-NOTES · PATCH
• github.com/roundcube/roundcubemail/releases/tag/1.6.20RELEASE-NOTES · PATCH
• github.com/roundcube/roundcubemail/commit/2b6ff79d8b14f94b0ff04765b7f02dbfdfe98efaPATCH

Historial de la alerta

1. 22 OCT · 00:49VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.