CVE-2026-115785
Təsvir
Zimbra Collaboration Suite (ZCS)-in məlumat mənbəyi sınağı funksionallığında aşkar edilmiş SMTP əmr inyeksiyası zəifliyi, hesab seçimləri aktiv olan adi autentifikasiya olunmuş istifadəçiyə JSON SOAP sorğusu vasitəsilə SMTP zərf əmrinə daxil edilən emailAddress parametrini CR/LF simvolları ilə genişləndirməyə imkan verir. Uğurlu ilkin POP3 və ya IMAP girişindən sonra Zimbra inyeksiya edilmiş əmrləri seçilmiş SMTP xidmətinə göndərir. Əgər həmin xidmət boru kəməri (pipelined) tranzaksiyasını qəbul edərsə, hücumçu qurbanın müdaxiləsi olmadan özünün seçdiyi alıcılar, başlıqlar və gövdə məzmunu ilə e-poçt göndərə bilər. Zəiflik yaradan əmr qurma yolu ZCS 10.1.16 və 10.1.20 versiyalarında mövcuddur.
Necə düzəltmək olar
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| synacor zimbra_collaboration_suite | v ≤ 10.1.20 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.