Aktywnie wykorzystywana w atakach
Synacor Zimbra Collaboration Suite (ZCS) Cross-Site Scripting (XSS) Vulnerability
Synacor - Zimbra Collaboration Suite (ZCS) · Figuruje w katalogu CISA KEV od 2022-04-19. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply updates per vendor instructions.
CVE-2018-6882
ŚrednieCVSS 6.1KEVPrawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 98 - wyżej niż 98% wszystkich znanych CVE
Streszczenie
Podatność cross-site scripting (XSS) w funkcji ZmMailMsgView.getAttachmentLinkHtml w Zimbra Collaboration Suite (ZCS) przed 8.7 Patch 1 i 8.8.x przed 8.8.7. Zdalny atakujący może wstrzyknąć dowolny skrypt lub HTML przez nagłówek Content-Location w załączniku e-mail.
Ocena ryzyka
Atakujący może wykorzystać XSS do kradzieży sesji użytkowników, przejęcia kont lub rozprzestrzeniania złośliwego oprogramowania w środowisku Zimbra.
Rekomendacja
Zaktualizuj Zimbra Collaboration Suite do wersji 8.7 Patch 1 lub nowszej (dla 8.7) oraz 8.8.7 lub nowszej (dla 8.8.x).
Oryginalny opis (angielski, źródło NVD)
Cross-site scripting (XSS) vulnerability in the ZmMailMsgView.getAttachmentLinkHtml function in Zimbra Collaboration Suite (ZCS) before 8.7 Patch 1 and 8.8.x before 8.8.7 might allow remote attackers to inject arbitrary web script or HTML via a Content-Location header in an email attachment.