- Aktif istismar
- CWE-98
CVE-2025-68645
Zimbra Collaboration Suite'te Yerel Dosya Ekleme (LFI) Zafiyeti
- Yayımlandı
- Güncellendi
- 26 Şub 2026
- Açık yaşı
- 310 gün
- Kaydı açan
- mitre
ÖzetTürkçe
Zimbra Collaboration (ZCS) 10.0 ve 10.1 sürümlerinin Webmail Classic arayüzünde, RestFilter servlet'inde kullanıcı tarafından sağlanan istek parametrelerinin hatalı işlenmesi nedeniyle bir Yerel Dosya Ekleme (LFI) zafiyeti bulunmaktadır. Kimlik doğrulaması yapmayan uzak bir saldırgan, /h/rest uç noktasına özel olarak hazırlanmış istekler göndererek iç istek yönlendirmesini etkileyebilir ve WebRoot dizinindeki keyfi dosyaların eklenmesine olanak tanıyabilir.
Kaynaktaki açıklama (İngilizce)
A Local File Inclusion (LFI) vulnerability exists in the Webmail Classic UI of Zimbra Collaboration (ZCS) 10.0 and 10.1 because of improper handling of user-supplied request parameters in the RestFilter servlet. An unauthenticated remote attacker can craft requests to the /h/rest endpoint to influence internal request dispatching, allowing inclusion of arbitrary files from the WebRoot directory.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Synacor Zimbra Collaboration Suite (ZCS) | Sürüm belirtilmemiş | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.