PT-2025-31175 · Unknown+1 · Z-Push-Dev+1

Xbow

·

Publicado

2025-07-29

·

Atualizado

2025-08-03

·

CVE-2025-8264

CVSS v3.1

9.0

Crítica

VetorAV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H
Nome do Software Vulnerável e Versões Afetadas z-push/z-push-dev versões anteriores a 2.7.6
Descrição O software é vulnerável a Injeção de SQL devido a consultas não parametrizadas no backend IMAP. Um atacante pode injetar comandos maliciosos manipulando o campo username na autenticação básica, potencialmente permitindo o acesso, a modificação ou a exclusão de dados sensíveis de um banco de dados de terceiros vinculado. Esta questão afeta instalações do Z-Push que utilizam o backend IMAP e possuem a opção IMAP FROM SQL QUERY configurada.
Recomendações Altere a configuração para usar o padrão ou LDAP em backend/imap/config.php. Defina IMAP DEFAULTFROM como uma string vazia:
php
define('IMAP DEFAULTFROM','');
ou Defina IMAP DEFAULTFROM como 'ldap':
php
define('IMAP DEFAULTFROM','ldap');

Correção

SQL injection

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2025-8264
GHSA-W832-W3P8-CW29

Produtos afetados

Z-Push
Z-Push-Dev