CVE-2025-68461
Roundcube Webmail vor 1.5.12 und 1.6 vor 1.6.12 ist anfällig für eine Cross-Site-Scripting (XSS)-Schwachstelle über das animate-Tag in einem SVG-Dokument.
Aktiv ausgenutzt
- Seit dem 20.02.2026 im CISA-Katalog ausgenutzter Schwachstellen
- US-Bundesbehörden müssen sie bis zum 13.03.2026 beheben (BOD 22-01)
- Erster Angriff 64 Tage nach der Veröffentlichung beobachtet
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Quelle: CISA KEV · 20.02.2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:NBetroffene Produkte
| Hersteller | Produkt | Versionen |
|---|---|---|
| roundcube | webmail | < 1.5.12 |
Verwandte Artikel
Aktive Angriffe auf Roundcube machen SQL-Injection vor der Anmeldung zur höchsten Patch-Priorität
Kanada warnt: CVE-2026-48842 in Roundcube wird aktiv ausgenutzt. Pre-Auth SQL-Injection in virtuser_query bedroht Mails – Update auf 1.6.16/1.7.1 nötig.
Roundcube-Server werden über SQL-Injection vor der Anmeldung aktiv angegriffen
CVE-2026-48842 in Roundcube wird aktiv ausgenutzt: SQL-Injection vor Login über virtuser_query. Update auf 1.6.16 oder 1.7.1 und Schutzmaßnahmen.
This product uses the NVD API but is not endorsed or certified by the NVD.
Die technische Beschreibung ist unsere Übersetzung des englischen NVD-Originaltexts.