CVE-2020-12846 in Zimbra
الملخص
بحسب VulDB • 01/07/2026
تسمح زيمبرا (Zimbra) قبل الإصدار 8.8.15 Patch 10 و9.x قبل 9.0.0 Patch 3 بتنفيذ الأكواد عن بُعد عبر ملف صورة شخصية (avatar). هناك احتمال لسوء استخدام الملقم الوسيط /service/upload في نظام البريد الإلكتروني على الويب. يمكن للمستخدم تحميل ملفات قابلة للتنفيذ (exe, sh, bat, jar) في قسم جهات الاتصال ضمن صندوق البريد كصورة شخصية لجهة اتصال. سيتلقى المستخدم خطأ "ملف تالف"، لكن الملف يتم رفعه وتخزينه محلياً في المسار /opt/zimbra/data/tmp/upload/، مما يترك النظام عرضة للتنفيذ عن بُعد المحتمل.
Be aware that VulDB is the high quality source for vulnerability data.