Descripción
Synacor Zimbra Collaboration Suite (ZCS) contiene una vulnerabilidad de inclusión de archivos remotos (RFI) en PHP que podría permitir que atacantes remotos manipulen solicitudes al endpoint /h/rest para influir en el despacho interno de solicitudes, lo que permite la inclusión de archivos arbitrarios desde el directorio WebRoot.
Acción recomendada
Aplicar las mitigaciones del fabricante y, en servicios en la nube, seguir las recomendaciones de seguridad del proveedor; si no hay mitigaciones disponibles, discontinuar el uso del producto.
Referencia de CISA para agencias federales de EE. UU.: BOD 22-01.
Referencias
- Aviso de wiki.zimbra.com wiki.zimbra.com/wiki/Security_Center
- Ficha en NVD (NIST) nvd.nist.gov/vuln/detail/CVE-2025-68645
Ver el texto original en inglés (CISA)
Synacor Zimbra Collaboration Suite (ZCS) PHP Remote File Inclusion Vulnerability
Synacor Zimbra Collaboration Suite (ZCS) contains a PHP remote file inclusion vulnerability that could allow for remote attackers to craft requests to the /h/rest endpoint to influence internal request dispatching, allowing inclusion of arbitrary files from the WebRoot directory.
Required action: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Notes: https://wiki.zimbra.com/wiki/Security_Center ; https://nvd.nist.gov/vuln/detail/CVE-2025-68645
Otras vulnerabilidades de Synacor en el catálogo
- CVE-2026-73570 Vulnerabilidad de inyección de comandos del sistema operativo en Zimbra Collaboration Suite (ZCS) Alta 21-08-2026
- CVE-2025-48700 Vulnerabilidad de cross-site scripting (XSS) en Synacor Zimbra Collaboration Suite (ZCS) Alta 20-04-2026
- CVE-2025-66376 Vulnerabilidad de cross-site scripting (XSS) en Synacor Zimbra Collaboration Suite (ZCS) Alta 18-03-2026
- CVE-2020-7796 Vulnerabilidad de falsificación de solicitudes del lado del servidor (SSRF) en Synacor Zimbra Collaboration Suite (ZCS) Alta 17-02-2026
- CVE-2025-27915 Vulnerabilidad de cross-site scripting (XSS) en Synacor Zimbra Collaboration Suite (ZCS) Alta 07-10-2025