CVE-2025-68461
Roundcube Webmail avant 1.5.12 et 1.6 avant 1.6.12 est sujet à une vulnérabilité Cross-Site Scripting (XSS) via la balise animate dans un document SVG.
Activement exploitée
- Dans le catalogue CISA des vulnérabilités exploitées depuis le 20 févr. 2026
- Les agences fédérales américaines doivent la corriger avant le 13 mars 2026 (BOD 22-01)
- Première attaque observée 64 jours après la divulgation
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Source : CISA KEV · 20 févr. 2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:NProduits concernés
| Éditeurs | Produit | Versions |
|---|---|---|
| roundcube | webmail | < 1.5.12 |
Articles liés
Des attaques actives contre Roundcube placent la faille d’injection SQL pré-authentification en tête des priorités de correctifs
Le Canada confirme l'exploitation de CVE-2026-48842, injection SQL pré-auth dans Roundcube. Passez à 1.6.16 ou 1.7.1 pour protéger vos emails.
Des serveurs Roundcube visés par des attaques actives via une injection SQL avant authentification
Exploitation active de CVE-2026-48842, injection SQL pré-auth dans Roundcube via virtuser_query. Mettez à jour vers 1.6.16 ou 1.7.1.
This product uses the NVD API but is not endorsed or certified by the NVD.
La description technique est notre traduction du texte original du NVD, en anglais.