CVE-2025-8264

z-push/z-push-dev paketinin 2.7.6 versiyasından əvvəlki versiyaları, IMAP backend-ində parametrləşdirilməmiş sorğular səbəbindən SQL Injection zəifliyinə malikdir. Hücumçu, baza autentifikasiyasındakı istifadəçi adı sahəsini manipulyasiya edərək zərərli əmrləri daxil edə bilər. Bu, hücumçuya bağlı üçüncü tərəf verilənlər bazasındakı həssas məlumatlara giriş əldə etməyə və potensial olaraq onları dəyişdirməyə və ya silməyə imkan verir. **Qeyd:** Bu zəiflik, IMAP backend-indən istifadə edən və IMAP_FROM_SQL_QUERY seçimi konfiqurasiya edilmiş Z-Push quraşdırmalarına təsir edir. Yüngülləşdirmə: backend/imap/config.php faylında konfiqurasiyanı standart və ya LDAP istifadə edəcək şəkildə dəyişin: php define('IMAP_DEFAULTFROM', ''); və ya php define('IMAP_DEFAULTFROM', 'ldap');