Roundcube, una de las soluciones de webmail de código abierto más populares del mundo, ha lanzado actualizaciones críticas de seguridad para abordar una vulnerabilidad de omisión de privacidad. El fallo, detallado por NULL CATHEDRAL, permitía a los atacantes cargar imágenes remotas y rastrear la apertura de correos electrónicos, incluso cuando los usuarios habían configurado explícitamente sus ajustes para "Bloquear imágenes remotas"

Roundcube, una de las soluciones de webmail de código abierto más populares del mundo, ha lanzado actualizaciones críticas de seguridad para solucionar una vulnerabilidad que permitía eludir la privacidad.

La falla, detallada por NULL CATHEDRAL, permitía a los atacantes cargar imágenes remotas y rastrear la apertura de correos, incluso cuando los usuarios habían configurado explícitamente sus ajustes para “Bloquear imágenes remotas”.

La vulnerabilidad afecta a las versiones de Roundcube Webmail anteriores a la 1.5.13 y a todas las versiones 1.6.x anteriores a la 1.6.13. Los responsables del proyecto han lanzado las versiones 1.5.13 y 1.6.13 para corregir el problema, que fue revelado públicamente el 8 de febrero de 2026.

El núcleo del problema reside en el saneador HTML de Roundcube, rcube_washtml, encargado de limpiar el contenido de los correos entrantes para evitar Cross-Site Scripting (XSS) y fugas de privacidad.

Cuando un usuario establece allow_remote en false, el saneador intercepta atributos HTML conocidos por cargar recursos externos. En concreto, la función is_image_attribute() verifica etiquetas como <img>, <video> y <use> en busca de atributos que puedan desencadenar una solicitud de red (como src o href). Si hay coincidencia, la URL se sanitiza para garantizar que no sea externa.

Sin embargo, los enlaces estándar (como <a href>) se procesan de manera diferente. Pasan por una función llamada wash_link(), que permite URLs HTTP y HTTPS para que los usuarios puedan hacer clic en hipervínculos legítimos.

La vulnerabilidad surgió porque el saneador no clasificó el elemento SVG <feImage> como un contenedor de imágenes.

El mecanismo de explotación

<feImage> es un primitivo de filtro SVG que obtiene datos de imagen desde una fuente externa usando el atributo href. Como rcube_washtml no incluía feimage en su lista de bloqueo para is_image_attribute(), el saneador trataba el href básicamente como un enlace clickeable estándar, según el informe de NULL CATHEDRAL.

En consecuencia, la URL maliciosa se dirigía a wash_link(), que permitía la conexión externa.

Un atacante podía explotar esto incrustando un SVG invisible de 1×1 píxeles en un correo. Dentro del SVG, una definición de filtro usando <feImage> desencadenaría automáticamente una solicitud GET a un servidor controlado por el atacante en cuanto se renderizara el correo.

Este bypass anula las protecciones de privacidad en las que confían los usuarios para evitar píxeles de rastreo. Al explotar esta falla, los actores maliciosos podrían:

• Confirmar que una dirección de correo está activa.
• Registrar la dirección IP del destinatario.
• Obtener la huella digital del navegador y dispositivo de la víctima.

La solución, implementada en el commit 26d7677, actualiza la lógica de expresiones regulares dentro de is_image_attribute(). El saneador ahora reconoce explícitamente feimage junto a image y use al inspeccionar atributos href. Esto garantiza que cualquier intento de cargar recursos externos mediante filtros SVG sea detectado y bloqueado por las estrictas reglas de sanitización de imágenes.

Se insta a los administradores que gestionan instancias autohospedadas de Roundcube a actualizar inmediatamente a la versión 1.5.13 o 1.6.13 para proteger la privacidad de los usuarios.

Fuentes:
https://cybersecuritynews.com/roundcube-webmail-vulnerability/