p PatchFirst

CVE-2025-8264

CVE-2025-8264

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Versions of the package z-push/z-push-dev before 2.7.6 are vulnerable to SQL Injection due to unparameterized queries in the IMAP backend. An attacker can inject malicious commands by manipulating the username field in basic authentication. This allows the attacker to access and potentially modify or delete sensitive data from a linked third-party database. **Note:** This vulnerability affects Z-Push installations that utilize the IMAP backend and have the IMAP_FROM_SQL_QUERY option configured. Mitigation Change configuration to use the default or LDAP in backend/imap/config.php php define('IMAP_DEFAULTFROM', ''); or php define('IMAP_DEFAULTFROM', 'ldap');

CVSS 9.1 · Critique · EPSS 0,4% · Correctif disponible

Publication
Mise à jour

Pile logicielle: system · php

Produits et versions concernés

  • z-push/z-push-dev

    Versions du logiciel
    • ≥ 0, < 2.7.6: Concernée (semver)

    Mettez à jour vers 2.7.6

  • z-push/z-push-dev Packagist

    Versions du logiciel
    • 2.2.10
    • 2.2.11
    • 2.2.11beta1
    • 2.2.11beta2
    • 2.2.12
    • 2.2.12beta1
    • 2.2.13
    • 2.2.13beta1
    • 2.2.14
    • 2.2.14beta1
    • 2.2.4
    • 2.2.5
    • 2.2.6
    • 2.2.6beta2+ZP-756
    • 2.2.7
    • 2.2.8
    • 2.2.9
    • 2.3.0
    • 2.3.0alpha1
    • 2.3.0alpha2
    • 2.3.0beta1
    • 2.3.0beta2
    • 2.3.0beta3
    • 2.3.1
    • 2.3.1beta0
    • 2.3.1beta1
    • 2.3.1beta2
    • 2.3.2
    • 2.3.2beta0
    • 2.3.2beta1
    • 2.3.3
    • 2.3.3beta0
    • 2.3.3beta1
    • 2.3.4
    • 2.3.4beta0
    • 2.3.4beta1
    • 2.3.5
    • 2.3.5beta0
    • 2.3.5beta1
    • 2.3.6
    • 2.3.6beta0
    • 2.3.6beta1
    • 2.3.7
    • 2.3.7beta0
    • 2.3.7beta1
    • 2.3.8
    • 2.3.8beta0
    • 2.3.8beta1
    • 2.3.8beta2
    • 2.3.9
    • 2.3.9beta0
    • 2.4.0
    • 2.4.0.alpha1
    • 2.4.0.beta1
    • 2.4.0.beta2
    • 2.4.1
    • 2.4.1.beta0
    • 2.4.1.beta1
    • 2.4.2
    • 2.4.2.beta0
    • 2.4.2.beta1
    • 2.4.3
    • 2.4.3.beta0
    • 2.4.3.beta1
    • 2.4.4
    • 2.4.4.beta1
    • 2.4.5
    • 2.4.5.beta0
    • 2.4.5.beta1
    • 2.4.6.beta0
    • 2.5.0
    • 2.5.0.alpha0
    • 2.5.0.beta1
    • 2.5.1
    • 2.5.1.beta0
    • 2.5.1.beta1
    • 2.5.2
    • 2.5.2.beta0
    • 2.5.2.beta1
    • 2.6.0
    • 2.6.0.alpha0
    • 2.6.0.alpha1
    • 2.6.0.beta0
    • 2.6.0.beta1
    • 2.6.1
    • 2.6.1.beta1
    • 2.6.2
    • 2.6.2.alpha1
    • 2.6.2.beta1
    • 2.6.3
    • 2.6.3.alpha1
    • 2.6.3.beta1
    • 2.6.4
    • 2.6.4.beta1
    • 2.7.0
    • 2.7.1
    • 2.7.2
    • 2.7.3
    • 2.7.4
    • 2.7.5
    Plages de versions concernées
    • ECOSYSTEM: < 2.7.6

    Mettez à jour vers 2.7.6

  • z-push Ubuntu:18.04:LTS

    Versions du logiciel
    • 2.3.8-2ubuntu1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • z-push Ubuntu:20.04:LTS

    Versions du logiciel
    • 2.5.1-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • z-push Ubuntu:22.04:LTS

    Versions du logiciel
    • 2.6.0-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

Sources originales

Vérifiez votre serveur →