CVE-2026-115785
Açıklama
Zimbra Collaboration Suite (ZCS) ürününün veri kaynağı test etme işlevindeki bir SMTP komut enjeksiyonu zafiyeti, hesap seçenekleri etkinleştirilmiş sıradan kimliği doğrulanmış bir kullanıcının, bir JSON SOAP isteği aracılığıyla bir SMTP zarf komutuna eklenen emailAddress parametresine CR/LF enjekte etmesine olanak tanır. Başarılı bir ön POP3 veya IMAP girişinden sonra Zimbra, enjekte edilen komutları seçilen SMTP servisine gönderir. Eğer söz konusu servis ardışık (pipelined) işlemi kabul ederse, saldırgan kurban etkileşimi olmaksızın kendi belirlediği alıcılar, başlıklar ve gövde içeriği ile e-posta gönderebilir. Zafiyet içeren komut oluşturma yolu ZCS 10.1.16 ve 10.1.20 sürümlerinde mevcuttur.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| synacor zimbra_collaboration_suite | v ≤ 10.1.20 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.