中危

Zimbra Collaboration Suite跨站脚本漏洞(CVE-2018-6882)

2018-03-27 16:00:00 公开，2026-08-13 05:08:11 更新

关键漏洞
CISA KEV
勒索软件漏洞
远程
公开PoC
无需认证
CWE Top 25 (2023)
CWE Top 25 (2024)

CWEs：: CWE-79 （Cross-site Scripting）
SSVC：: 可利用状态：已被积极利用攻击自动化：否技术影响评估：全部 2022-04-18 08:00:00

风险信息

CVSS v2 向量: AV:N/AC:M/Au:N/C:N/I:P/A:N
CVSS v2 风险值: 4.3
CVSS v3 向量: AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
CVSS v3 风险值: 6.1
CVSS v3.1 向量: AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
CVSS v3.1 风险值: 6.1

详细信息

漏洞类型: 跨站脚本
漏洞描述: Zimbra Collaboration Suite（ZCS）是美国Zimbra公司的一款开源协同办公套件，它包括WebMail、日历、通信录等。ZCS 8.7 Patch 1之前版本和8.8.7之前的8.8.x版本中的ZmMailMsgView.getAttachmentLinkHtml函数存在跨站脚本漏洞。远程攻击者可借助邮件附件中的Content-Location包头利用该漏洞注入任意的Web脚本或HTML。
修复建议: 从Zimbra网站升级到最新版本的Zimbra Collaboration Suite (ZCS)（8.8.7或更高版本）： https://wiki.zimbra.com/wiki/Zimbra_Releases/8.8.7

参考链接

https://www.securify.nl/advisory/SFY20180101/cross-site-scripting-vulnerability-in-zimbra-collaboration-suite-due-to-the-way-it-handles-attachment-links.html
CVE · x_refsource_MISC
http://seclists.org/fulldisclosure/2018/Mar/52
CVE · mailing-list · x_refsource_FULLDISC
https://wiki.zimbra.com/wiki/Zimbra_Releases/8.8.7
CVE · x_refsource_CONFIRM
https://bugzilla.zimbra.com/show_bug.cgi?id=108786
CVE · x_refsource_CONFIRM
https://wiki.zimbra.com/wiki/Zimbra_Security_Advisories
CVE · x_refsource_CONFIRM
https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2018-6882
NVD · US Government Resource