CVE-2025-25064｜Zimbra存在SQL注入漏洞-先知社区

历史记录

清空历史记录

相关的动态
相关的文章
相关的用户
相关的圈子
相关的话题

注册登录

CVE-2025-25064｜Zimbra存在SQL注入漏洞

Werqy3 漏洞分析 524浏览 · 2025-02-17 06:55

Zimbra简介

Zimbra提供一套开源协同办公套件包括WebMail，日历，通信录，Web文档管理和创作。

漏洞描述

漏洞原因

漏洞的根本原因在于

CancelPendingAccountOnlyRemoteWipe

处理器中对用户输入（即设备ID）的处理方式不当

漏洞代码

这里变量

deviceId

插入了sql查询语句，所以这里就有可能产生sql注入漏洞

跟进一下

getDevices

方法

跟进一下getDevice方法

发现在这里用户可以输入变量

deviceId

，且没有任何过滤和转义

payload:

0 人收藏 0 人喜欢

分享

0 条评论

某人

表情

热门文章

优秀作者

目录

Zimbra简介
漏洞描述
漏洞原因
漏洞代码

先知社区