CVE-2025-27915
Vulnérabilité de cross-site scripting dans Synacor Zimbra Collaboration Suite (ZCS)
- Publié
- 12 mars 2025
- Mise à jour
- 26 févr. 2026
- Attribution de CNA
- mitre
- Preuve observée
- 7 oct. 2025
CVSS primaire
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:NFaible · 30 prochains jours
- Percentile
- 90,6 %
- Date du modèle
- 23 oct. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
CISA Connu Exploité
Ce CVE apparaît dans le catalogue des vulnérabilités exploitées connues de CISA.
Résumé
Un problème a été découvert dans Zimbra Collaboration (ZCS) 9.0, 10.0 et 10.1. Une vulnérabilité de type cross-site scripting (XSS) stocké existe dans le client Web classique en raison d'une désinfection insuffisante du contenu HTML dans les fichiers ICS. Lorsqu'un utilisateur consulte un e-mail contenant une entrée ICS malveillante, son JavaScript intégré s'exécute via un événement `ontoggle` à l'intérieur d'une balise `<details>`. Cela permet à un attaquant d'exécuter du JavaScript arbitraire dans la session de la victime, ce qui peut entraîner des actions non autorisées telles que la configuration de filtres de messagerie pour rediriger les messages vers une adresse contrôlée par l'attaquant. Par conséquent, un attaquant peut effectuer des actions non autorisées sur le compte de la victime, notamment la redirection d'e-mails et l'exfiltration de données.
Sources
http/cves/2025/CVE-2025-27915.yaml
Nuclei TemplatesConditions déclarées
- network: http($.protocol_keys)
- verification: dsl,word($.matchers[*].type)
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.