Roundcube 網頁郵件 1.6.20、1.7.5 修補 20 個安全問題：IMAP 指令注入、郵件標頭注入、跨站請求偽造，五個月內第五次安全更新

趨勢新聞2026 年 10 月 20 日

開源網頁郵件系統 Roundcube 10 月 19 日發布 1.6.20（長期支援版）與 1.7.5，修補 20 個安全問題，官方建議所有 1.6.x 與 1.7.x 的正式環境都升級。公告沒有列 CVE 編號，也沒有提到漏洞已遭利用。這是 Roundcube 從 5 月 24 日以來第五次發布安全更新，前四次在 5 月 24 日、7 月 5 日、8 月 9 日與 9 月 6 日。

20 個問題裡，郵件標頭注入有 4 個，分別經由重寄（Bounce）時的寄件者顯示名稱、References 與 In-Reply-To 等參數、以附件轉寄的信件主旨，以及內嵌圖片 data URI 的媒體類型；IMAP 指令注入有 2 個，都是在 _uid 或 _flag 參數裡夾帶換行字元（CRLF）。另有 2 個遠端內容封鎖繞過（經 SVG 動畫屬性與 CSS 跳脫字元，後者公告註明是「再次」修補）、1 個伺服器端請求偽造（SSRF）過濾被 NAT64 位址段 64:ff9b::/96 繞過、1 個「標為垃圾信」動作的跨站請求偽造（CSRF）驗證繞過、1 個密碼外掛錯誤回應的跨站指令碼（XSS），以及 session 反序列化的物件注入。

有幾項和帳號權限直接相關：密碼外掛的 Modoboa 驅動可以改到另一個帳號的密碼；別名登入沒有限定所屬的 IMAP 主機；管理者用 disabled_actions 停用的功能，透過已淘汰的舊動作名稱仍然叫得到。附件處理方面，縮圖時可能把不安全的附件內容交給 ImageMagick，GD 備援路徑也會繞過 ImageMagick 的資源上限。

20 個問題由 9 組回報者提出，其中 8 個是 Squirt1e、Atum、N0b0dy、Gh0u1L5 四人共同回報，Milan Hoppe 回報 4 個。完整變更紀錄在 GitHub 上兩個版本的發布說明。