CVE-2025-68645
Eine Local File Inclusion (LFI)-Schwachstelle besteht in der Webmail Classic UI von Zimbra Collaboration (ZCS) 10.0 und 10.1 aufgrund unsachgemäßer Behandlung benutzerseitiger Request-Parameter im RestFilter-Servlet. Ein nicht authentifizierter Remote-Angreifer kann Requests an den /h/rest-Endpunkt erstellen, um das interne Request-Dispatching zu beeinflussen und so die Einbindung beliebiger Dateien aus dem WebRoot-Verzeichnis zu ermöglichen.
Aktiv ausgenutzt
- Seit dem 22.01.2026 im CISA-Katalog ausgenutzter Schwachstellen
- US-Bundesbehörden müssen sie bis zum 12.02.2026 beheben (BOD 22-01)
- Erster Angriff 22 Tage nach der Veröffentlichung beobachtet
- Durch Sensoren bestätigt, nicht nur durch Meldungen
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Quelle: CISA KEV · 03.10.2026 02.10.2026 01.10.2026 30.09.2026 29.09.2026 28.09.2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HBetroffene Produkte
| Hersteller | Produkt | Versionen |
|---|---|---|
| synacor | zimbra collaboration suite | < 10.0.18 |
Verwandte Artikel
This product uses the NVD API but is not endorsed or certified by the NVD.
Die technische Beschreibung ist unsere Übersetzung des englischen NVD-Originaltexts.