CVE-2025-27915

Media5.4 Pubblicata il 12 mar 2025

È stato scoperto un problema in Zimbra Collaboration (ZCS) 9.0 e 10.0 e 10.1. Esiste una vulnerabilità di stored cross-site scripting (XSS) nel Classic Web Client dovuta a una sanitizzazione insufficiente del contenuto HTML nei file ICS. Quando un utente visualizza un messaggio e-mail contenente una voce ICS dannosa, il JavaScript incorporato viene eseguito tramite un evento ontoggle all'interno di un tag <details>. Ciò consente a un attaccante di eseguire JavaScript arbitrario all'interno della sessione della vittima, portando potenzialmente ad azioni non autorizzate come l'impostazione di filtri e-mail per reindirizzare i messaggi a un indirizzo controllato dall'attaccante. Di conseguenza, un attaccante può eseguire azioni non autorizzate sull'account della vittima, tra cui il reindirizzamento delle e-mail e l'esfiltrazione dei dati.

Sfruttata attivamente

Nel catalogo CISA delle vulnerabilità sfruttate dal 7 ott 2025
Le agenzie federali statunitensi devono correggerla entro il 28 ott 2025 (direttiva BOD 22-01)
Primo attacco osservato 201 giorni dopo la divulgazione

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Fonte: CISA KEV · 23 lug 2026 20 gen 2026 25 nov 2025 7 nov 2025 7 ott 2025 30 set 2025

Punteggio CVSS5.4 / 10CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Tipo di debolezza (CWE)CWE-79

Vendorsynacor