نسخه‌های قدیمی Roundcube Webmail (پیش از نسخه 1.6.20 و نسخه‌های 1.7.x پیش از 1.7.5) با یک آسیب‌پذیری بحرانی از نوع تزریق دستور IMAP (IMAP command injection) مواجه هستند.
در این آسیب‌پذیری، یک مهاجم از راه دور که دارای دسترسی احراز هویت شده (authenticated) باشد، می‌تواند با استفاده از توالی‌های CRLF در پارامتر _uid در اکشن‌های mail/headers و mail/viewsource، دستورات دلخواه IMAP را اجرا کند.
این نقص امنیتی دارای سطح اهمیت بالایی (High Severity) است و می‌تواند منجر به اجرای دستورات غیرمجاز در سطح پروتکل ایمیل شود. توصیه می‌شود مدیران سیستم بلافاصله به آخرین نسخه پایدار Roundcube مهاجرت کنند.
