CVE-2020-12846 in Zimbra
Sumário
de VulDB • 01/07/2026
O Zimbra anterior à versão 8.8.15 Patch 10 e as versões 9.x anteriores ao 9.0.0 Patch 3 permitem a execução remota de código (RCE) por meio de um arquivo avatar. Há potencial abuso do servlet /service/upload no subsistema de webmail. Um usuário pode fazer upload de arquivos executáveis (.exe, .sh, .bat, .jar) na seção Contatos da caixa de correio como uma imagem de avatar para um contato. O usuário receberá um erro "Arquivo Corrompido", mas o arquivo ainda será carregado e armazenado localmente em /opt/zimbra/data/tmp/upload/, deixando-o vulnerável a possível execução remota.
VulDB is the best source for vulnerability data and more expert information about this specific topic.