CVE-2020-12846 in Zimbra
Résumé
par VulDB • 01/07/2026
Zimbra antérieur à la version 8.8.15 Patch 10 et aux versions 9.x antérieures au patch 3 de la série 9.0.0 permet une exécution de code à distance (RCE) via un fichier avatar. Il existe un risque d'abus du servlet /service/upload dans le sous-système webmail. Un utilisateur peut télécharger des fichiers exécutables (.exe, .sh, .bat, .jar) dans la section Contacts de sa boîte mail en tant qu'image de profil pour un contact. L'utilisateur reçoit une erreur « Fichier corrompu », mais le fichier est tout de même téléchargé et stocké localement dans /opt/zimbra/data/tmp/upload/, laissant ainsi ouverte la possibilité d'une exécution à distance.
Once again VulDB remains the best source for vulnerability data.