- Son 7 gün
- CWE-93
CVE-2026-115785
Zimbra Collaboration Suite'te veri kaynağı SMTP testinde e-posta adresi üzerinden komut enjeksiyonu
- Yayımlandı
- Güncellendi
- 24 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- rapid7
ÖzetTürkçe
Zimbra Collaboration Suite (ZCS) ürününün veri kaynağı test işlevselliğinde bir SMTP komut enjeksiyonu güvenlik açığı bulunmaktadır. Hesap seçenekleri etkinleştirilmiş, kimliği doğrulanmış sıradan bir kullanıcı, JSON SOAP isteği aracılığıyla SMTP zarfı komutuna eklenen emailAddress alanına CR/LF karakterleri enjekte edebilir. Başarılı bir ön POP3 veya IMAP girişinden sonra Zimbra, enjekte edilen komutları seçilen SMTP hizmetine gönderir. Hizmet bu birleştirilmiş işlemi kabul ederse, saldırgan kurbanın herhangi bir etkileşimi olmadan, saldırganın seçtiği alıcılar, başlıklar ve gövde içeriğine sahip e-posta gönderebilir. Güvenlik açığına yol açan komut oluşturma yolu ZCS 10.1.16 ve 10.1.20 sürümlerinde mevcuttur. CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N vektörüne sahip, 4.3 puanla ORTA şiddetinde olarak değerlendirilmiştir.
Kaynaktaki açıklama (İngilizce)
An SMTP command injection vulnerability in the data-source testing functionality of Zimbra Collaboration Suite (ZCS) allows an ordinary authenticated user with account options enabled to inject CR/LF into the emailAddress inserted into an SMTP envelope command by a JSON SOAP request. After a successful preliminary POP3 or IMAP login, Zimbra sends the injected commands to the selected SMTP service. If that service accepts the pipelined transaction, the attacker can submit mail with attacker-selected recipients, headers and body content without victim interaction. The vulnerable command-construction path is present in ZCS 10.1.16 and 10.1.20.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Zimbra Collaboration Suite | ≤ 10.1.20 | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.