CVE-2025-48700
Se descubrió un problema en Zimbra Collaboration (ZCS) 8.8.15 y 9.0 y 10.0 y 10.1. Una vulnerabilidad de Cross-Site Scripting (XSS) en Zimbra Classic UI permite a los atacantes ejecutar JavaScript arbitrario dentro de la sesión del usuario, lo que puede conducir al acceso no autorizado a información confidencial. Este problema se debe a una sanitización insuficiente del contenido HTML, específicamente estructuras de etiquetas manipuladas y valores de atributos que incluyen una directiva @import y otros vectores de inyección de scripts. La vulnerabilidad se activa cuando un usuario visualiza un mensaje de correo electrónico manipulado en Classic UI, sin requerir interacción adicional del usuario.
Explotada activamente
- En el catálogo CISA de vulnerabilidades explotadas desde el 20 abr 2026
- Las agencias federales de EE. UU. deben corregirla antes del 23 abr 2026 (BOD 22-01)
- Primer ataque observado 300 días después de la divulgación
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Fuente: CISA KEV · 9 jun 2026 20 abr 2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:NProductos afectados
| Fabricantes | Producto | Versiones |
|---|---|---|
| synacor | zimbra collaboration suite | < 10.0.12 |
Artículos relacionados
This product uses the NVD API but is not endorsed or certified by the NVD.
La descripción técnica es una traducción nuestra del texto original de NVD, en inglés.