CVE-2022-24682

Media6.1Pubblicata il 9 febbraio 2022

È stato scoperto un problema nella funzionalità Calendar in Zimbra Collaboration Suite 8.8.x prima di 8.8.15 patch 30 (update 1), sfruttato in the wild a partire da dicembre 2021. Un attaccante potrebbe inserire HTML contenente JavaScript eseguibile all'interno degli attributi degli elementi. Questo markup diventa unescaped, causando l'iniezione di markup arbitrario nel documento.

Sfruttata attivamente

Nel catalogo CISA delle vulnerabilità sfruttate dal 25 feb 2022
Le agenzie federali statunitensi devono correggerla entro il 11 mar 2022 (direttiva BOD 22-01)
Attaccata 55 giorni prima che la vulnerabilità fosse resa pubblica
Usata in campagne ransomware

Apply updates per vendor instructions.

Fonte: CISA KEV · 24 apr 2024 7 nov 2023 21 ott 2023 5 ott 2023 3 ago 2023 20 mar 2023

Punteggio CVSS6.1 / 10CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Tipo di debolezza (CWE)CWE-116, CWE-116

Vendorsynacor