跳到主要内容

中危

Synacor Zimbra Collaboration Suite (ZCS)跨站脚本漏洞

2024-08-12 00:00:00 公开 ，2026-02-25 20:02:58 更新

  • CISA KEV
  • 关键漏洞
  • CWE Top 25 (2023)
  • 无需认证
  • 远程
  • CWE Top 25 (2024)
  • 公开PoC
CWEs：
CWE-79 （Cross-site Scripting）
CAPEC：
CAPEC-209 （XSS Using MIME Type Mismatch） 、 CAPEC-588 （DOM-Based XSS） 、 CAPEC-591 （Reflected XSS） 、 CAPEC-592 （Stored XSS） 、 CAPEC-63 （Cross-Site Scripting (XSS)） 、 CAPEC-85 （AJAX Footprinting）
SSVC：
可利用状态：已被积极利用攻击自动化：否技术影响评估：全部 2025-05-21 11:55:36

风险信息

CVSS v3.1 向量
AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
CVSS v3.1 风险值
6.1

详细信息

漏洞类型
其他
漏洞描述
Zimbra Collaboration (ZCS) 9.0和10.0版本存在安全漏洞。Zimbra Webmail经典用户界面的“日历邀请”功能存在跨站脚本（XSS）漏洞，这是由于在处理日历标题时未正确验证输入导致的。攻击者可以通过包含经过精心设计且嵌入了XSS负载的日历标题的电子邮件消息来利用此漏洞。当受害者在Zimbra Webmail经典界面查看该消息时，负载将在受害者的会话上下文中执行，可能会导致任意JavaScript代码的执行。
修复建议
Zimbra已发布针对此漏洞的补丁程序。参考链接： https://wiki.zimbra.com/wiki/Zimbra_Releases/10.0.7#Security_Fixes https://wiki.zimbra.com/wiki/Zimbra_Releases/9.0.0/P39#Security_Fixes

参考链接