CVE-2025-27915
Vulnerabilità di Cross-site Scripting in Synacor Zimbra Collaboration Suite (ZCS)
- Pubblicato
- 12 mar 2025
- Aggiornato
- 26 feb 2026
- Assegnazione CNA
- mitre
- Evidenza osservata
- 7 ott 2025
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:NBasso · prossimi 30 giorni
- Percentile
- 90,6%
- Data del modello
- 23 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
CISA noto sfruttato
Questo CVE appare nel catalogo CISA delle vulnerabilità sfruttate note.
Riepilogo
È stato scoperto un problema in Zimbra Collaboration (ZCS) 9.0, 10.0 e 10.1. Esiste una vulnerabilità di cross-site scripting (XSS) memorizzato nel Classic Web Client a causa di una sanitizzazione insufficiente del contenuto HTML nei file ICS. Quando un utente visualizza un messaggio di posta elettronica contenente una voce ICS dannosa, il JavaScript incorporato viene eseguito tramite un evento `ontoggle` all'interno di un tag `<details>`. Ciò consente a un attaccante di eseguire JavaScript arbitrario nella sessione della vittima, portando potenzialmente ad azioni non autorizzate come l'impostazione di filtri di posta elettronica per reindirizzare i messaggi a un indirizzo controllato dall'attaccante. Di conseguenza, un attaccante può eseguire azioni non autorizzate sull'account della vittima, inclusi il reindirizzamento della posta elettronica e l'esfiltrazione dei dati.
Fonti
http/cves/2025/CVE-2025-27915.yaml
Nuclei TemplatesCondizioni dichiarate
- network: http($.protocol_keys)
- verification: dsl,word($.matchers[*].type)
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.