Vulnerabilidades en Roundcube permiten a atacantes ejecutar scripts maliciosos Roundcube Webmail ha lanzado actualizaciones de seguridad críticas que abordan dos vulnerabilidades significativas que afectan a las versiones 1.6 y 1.5 LTS. Estos fallos podrían permitir a los atacantes ejecutar scripts maliciosos y obtener acceso no autorizado a información sensible a través de múltiples vectores de ataque. La primera vulnerabilidad es un fallo de Cross-Site Scripting (XSS) en el mecanismo de manejo de SVG de Roundcube.

Un investigador ha destapado un bug que llevaba una década escondido en Roundcube Webmail. El fallo (CVE-2025-49113, CVSS 9.9) permite que cualquier usuario autenticado tome el control total del servidor y ejecute código arbitrario. La solución llegó el 1 de junio con las versiones 1.6.11 y 1.5.10 LTS —pero mientras no se apliquen, miles de instalaciones siguen expuestas.