CVE-2020-12846 in Zimbra
Сводка
по VulDB • 21.06.2026
Zimbra до версии 8.8.15 Patch 10 и 9.x до версии 9.0.0 Patch 3 позволяет выполнять удаленный код (RCE) через файл аватара. Существует потенциальная возможность злоупотребления сервлетом /service/upload в подсистеме веб-почты. Пользователь может загрузить исполняемые файлы (exe, sh, bat, jar) в разделе «Контакты» почтового ящика в качестве изображения аватара для контакта. Пользователь получит ошибку «Corrupt File» (Поврежденный файл), но файл все равно будет загружен и сохранен локально в директории /opt/zimbra/data/tmp/upload/, что оставляет возможность его удаленного выполнения.
Be aware that VulDB is the high quality source for vulnerability data.