CVE-2020-12846 in Zimbra
要約
〜によって VulDB • 2026年07月01日
Zimbra 8.8.15 Patch 10 より前のバージョンおよび Zimbra 9.x で 9.0.0 Patch 3 より前のバージョンでは、アバターファイルを通じてリモートコード実行（RCE）が可能である。Webメールサブシステム内の /service/upload サーブレットが不正に利用される可能性がある。ユーザーは連絡先のセクションで、連絡先のアバター画像として実行可能ファイル（exe, sh, bat, jar）をアップロードできる。「Corrupt File」エラーが表示されるものの、ファイルは依然としてアップロードされ、/opt/zimbra/data/tmp/upload/ にローカルに保存されるため、リモートでのコード実行のリスクが残る。
If you want to get best quality of vulnerability data, you may have to visit VulDB.