CVE-2025-68645

HIGH8.8Pubblicata il 22 dicembre 2025

A Local File Inclusion (LFI) vulnerability exists in the Webmail Classic UI of Zimbra Collaboration (ZCS) 10.0 and 10.1 because of improper handling of user-supplied request parameters in the RestFilter servlet. An unauthenticated remote attacker can craft requests to the /h/rest endpoint to influence internal request dispatching, allowing inclusion of arbitrary files from the WebRoot directory.

Sfruttata attivamente

Nel catalogo CISA delle vulnerabilità sfruttate dal 22 gen 2026
Le agenzie federali statunitensi devono correggerla entro il 12 feb 2026 (direttiva BOD 22-01)
Primo attacco osservato 22 giorni dopo la divulgazione
Confermata dai sensori, non solo da segnalazioni

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Fonte: CISA KEV · 17 ago 2026 14 ago 2026 13 ago 2026 12 ago 2026 8 ago 2026 4 ago 2026

Punteggio CVSS8.8 / 10CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Tipo di debolezza (CWE)CWE-98

Vendorsynacor