FICHE CVE

CVE-2026-25134

Publiée le 2026-02-02 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les installations de Group-Office antérieures aux versions 6.8.150, 25.0.82 et 26.0.5 sont vulnérables à l'exécution de code à distance. Un attaquant disposant d'identifiants d'utilisateur à faibles privilèges peut télécharger un fichier zip malveillant et déclencher une commande système pour exécuter du code arbitraire sur votre serveur. Cette attaque est relativement facile à réaliser car elle ne nécessite qu'un accès réseau et un compte utilisateur basique, sans aucune autre interaction de l'utilisateur.

CVSS 4.09.4 CRITIQUE

Type de faiblesse

CWE-88

Publiée2026-02-02

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Élevée

Intégrité (système subséquent)Élevée

Disponibilité (système subséquent)Élevée

RÉFÉRENCES

Description officielle du NVD (en anglais)

Group-Office is an enterprise customer relationship management and groupware tool. Prior to 6.8.150, 25.0.82, and 26.0.5, the MaintenanceController exposes an action zipLanguage which takes a lang parameter and passes it directly to a system zip command via exec(). This can be combined with uploading a crafted zip file to achieve remote code execution. This vulnerability is fixed in 6.8.150, 25.0.82, and 26.0.5.