CVE-2026-35542Roundcube Webmail在1.5.14和1.6.14之前的版本中存在一个安全漏洞，该漏洞与远程图像阻断功能有关。攻击者可以通过发送一封特制的电子邮件，在邮件HTML内容的BODY元素中注入精心设计的background属性。由于Roundcube未能正确过滤这一特定属性，导致其远程图片保护机制失效。当受害者查看这封邮件时，浏览器会尝试加载攻击者指定的远程背景图片。这一行为不仅确认了邮件已被阅读，还可能导致受害者的IP地址、会话令牌等敏感信息泄露给攻击者，从而造成信息泄露或访问控制绕过的风险。
该漏洞的根本原因在于Roundcube Webmail对HTML邮件内容的清理机制存在疏漏。为了保护用户隐私，防止被Web Bug追踪，Webmail通常会拦截或替换外部资源的引用。然而，在受影响的版本中，系统未能识别`<body>`标签上的`background`属性所引用的外部URL。攻击者利用这一逻辑缺陷，构造包含恶意背景链接的HTML邮件。当用户在Web界面预览或打开邮件时，解析器未移除该属性，浏览器随即向攻击者控制的服务器发起请求。由于该请求携带了用户的Cookie或User-Agent等信息，攻击者便能验证邮箱活跃度或窃取部分上下文信息。这种攻击方式无需用户交互即可触发，且隐蔽性较高，因为它利用了看似合法的HTML渲染特性，绕过了常规的src属性过滤规则。