Un contournement qui pour moi a fonctionné (sur plusieurs serveurs). renommer le fichier composer.lock en composer.lock.bkp, et lancer l’upgrade reconstruit ce fichier avec les mises à jour.
Un petit backup avant si ça vous fait peur
yunohost create backup --apps roundcube
mv /var/www/roundcube/composer.lock /var/www/roundcube/composer.lock.bkp
yunohost app upgrade roundcube
Après vérification, vous pouvez supprimer ce fichier
rm /var/www/roundcube/composer.lock.bkp