CVE-2026-73574
Publiée le 2026-08-13 · Dernière modification le 2026-08-28
Les serveurs Zimbra Collaboration (versions antérieures à 10.1.17) sont affectés par une faille dans le client Web Classic qui peut entraîner la fuite de fichiers de configuration internes. Un attaquant disposant d'identifiants de compte de bas niveau peut lire des fichiers système protégés en envoyant une requête spécifiquement conçue via le réseau. Étant donné que l'attaque nécessite une connexion valide et est difficile à exécuter, le risque pour la plupart des utilisateurs est relativement faible.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
In Zimbra Collaboration before 10.1.17, a local file inclusion (LFI) vulnerability exists in the Zimbra Classic Web Client due to improper validation of the fu request parameter. An unauthenticated attacker can exploit this vulnerability by supplying a crafted path, potentially allowing unauthorized disclosure of protected files, such as WEB-INF/web.xml, within the web application directory. This occurs in the Forward servlet.