CVE-2026-114731 Consumo no controlado de recursos en el proxy CSS de Roundcube Webmail

Qué es CVE-2026-114731

El proxy CSS de Roundcube Webmail (acción utils/modcss) leía la hoja de estilos obtenida en memoria completa, sin límite de tamaño ni tiempo de lectura, por lo que una URL de hoja de estilos apuntando a un host controlado por el atacante podía agotar la memoria del servidor. Corregido en 1.6.20 y 1.7.5 con un límite de 5 MB, lectura en streaming y tiempo de espera.

Productos y versiones afectadas

• Roundcube Webmail

  • desde 1.6.0 hasta antes de 1.6.20
  • desde 1.7.0 hasta antes de 1.7.5

Qué hacer

1. Verificá si usás Webmail y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 5.3 MEDIA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Ninguna

INTEGRIDAD (I)

Ninguna

DISPONIBILIDAD (A)

Baja

Abrir la calculadora completa →

Descripción original

Roundcube Webmail before 1.6.20 and 1.7.x before 1.7.5 is affected by an uncontrolled resource consumption vulnerability in the CSS proxy (the utils/modcss action). The fetched stylesheet was read into memory in full, with no size limit and no read timeout, so a stylesheet URL referencing an attacker-controlled host could be used to exhaust server memory. Upstream fixed this in the commit “Add a size limit to the CSS proxy content processing”, which caps the response at 5 MB, reads it as a stream and applies a read timeout.

Referencias

• bugs.debian.org/1151279ISSUE-TRACKING · THIRD-PARTY-ADVISORY
• github.com/roundcube/roundcubemail/commit/2c9f6da692fa37cad2aaf85d5b127b583d22b264PATCH
• roundcube.net/news/2026/10/19/security-updates-1.6.20-and-1.7.5VENDOR-ADVISORY · RELEASE-NOTES
• github.com/roundcube/roundcubemail/releases/tag/1.7.5RELEASE-NOTES · PATCH
• github.com/roundcube/roundcubemail/releases/tag/1.6.20RELEASE-NOTES · PATCH
• github.com/roundcube/roundcubemail/commit/99a5bdd05b01f45493cc0da4c96968eac7668126PATCH

Historial de la alerta

1. 22 OCT · 00:49VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.