CVE-2025-68645

Alta8.8 Pubblicata il 22 dic 2025

Esiste una vulnerabilità di Local File Inclusion (LFI) nella Webmail Classic UI di Zimbra Collaboration (ZCS) 10.0 e 10.1 a causa della gestione impropria dei parametri di richiesta forniti dall'utente nel servlet RestFilter. Un attaccante remoto non autenticato può creare richieste all'endpoint /h/rest per influenzare il dispatching interno delle richieste, consentendo l'inclusione di file arbitrari dalla directory WebRoot.

Sfruttata attivamente

Nel catalogo CISA delle vulnerabilità sfruttate dal 22 gen 2026
Le agenzie federali statunitensi devono correggerla entro il 12 feb 2026 (direttiva BOD 22-01)
Primo attacco osservato 22 giorni dopo la divulgazione
Confermata dai sensori, non solo da segnalazioni

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Fonte: CISA KEV · 3 ott 2026 2 ott 2026 1 ott 2026 30 set 2026 29 set 2026 28 set 2026

Punteggio CVSS8.8 / 10CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Tipo di debolezza (CWE)CWE-98

Vendorsynacor