高危

Synacor Zimbra Collaboration Suite (ZCS)跨站脚本漏洞(CVE-2025-66376)

2026-01-05 00:00:00 公开，2026-03-19 05:05:52 更新

CWEs：: CWE-79 （Cross-site Scripting）
CAPEC：: CAPEC-209 （XSS Using MIME Type Mismatch）、 CAPEC-588 （DOM-Based XSS）、 CAPEC-591 （Reflected XSS）、 CAPEC-592 （Stored XSS）、 CAPEC-63 （Cross-Site Scripting (XSS)）、 CAPEC-85 （AJAX Footprinting）
SSVC：: 可利用状态：已被积极利用攻击自动化：否技术影响评估：部分 2026-03-17 08:00:00

风险信息

漏洞类型: 跨站脚本
漏洞描述: Zimbra Collaboration (ZCS) 10 10.0.18之前的版本以及10.1 10.1.13之前的版本的Classic UI在处理HTML邮件中的CSS内容时，未能正确验证和清理CSS @import指令，允许攻击者在Classic UI中进行存储型跨站脚本攻击。攻击者在受害者的浏览器上下文中执行任意代码，可窃取会话令牌、凭据或执行其他恶意操作。
修复建议: 升级至Zimbra Collaboration 10.0.18、10.1.13或更高版本，参考链接： https://wiki.zimbra.com/wiki/Zimbra_Security_Advisories https://wiki.zimbra.com/wiki/Zimbra_Releases/10.0.18#Security_Fixes https://wiki.zimbra.com/wiki/Zimbra_Releases/10.1.13#Security_Fixes