CVE-2026-73574
NiskieCVSS 3.1Streszczenie
W Zimbra Collaboration przed wersją 10.1.17 istnieje podatność na lokalne dołączanie plików (LFI) w klasycznym kliencie internetowym Zimbra z powodu nieprawidłowej walidacji parametru żądania fu. Nieuwierzytelniony atakujący może wykorzystać tę podatność, podając spreparowaną ścieżkę, co potencjalnie umożliwia nieautoryzowane ujawnienie chronionych plików, takich jak WEB-INF/web.xml, w katalogu aplikacji internetowej. Występuje to w serwlecie Forward.
Ocena ryzyka
Ryzyko obejmuje ujawnienie wrażliwych plików konfiguracyjnych i innych danych, co może prowadzić do eskalacji uprawnień lub dalszych ataków. Nieuwierzytelniony atakujący może uzyskać dostęp do wewnętrznych informacji systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację Zimbra Collaboration do wersji 10.1.17 lub nowszej. Należy również dokładnie walidować parametry wejściowe i ograniczyć dostęp do serwletu Forward.
Oryginalny opis (angielski, źródło NVD)
In Zimbra Collaboration before 10.1.17, a local file inclusion (LFI) vulnerability exists in the Zimbra Classic Web Client due to improper validation of the fu request parameter. An unauthenticated attacker can exploit this vulnerability by supplying a crafted path, potentially allowing unauthorized disclosure of protected files, such as WEB-INF/web.xml, within the web application directory. This occurs in the Forward servlet.