Aktywnie wykorzystywana w atakach
Synacor Zimbra Collaborate Suite (ZCS) Cross-Site Scripting Vulnerability
Synacor - Zimbra Collaborate Suite (ZCS) · Figuruje w katalogu CISA KEV od 2022-02-25. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply updates per vendor instructions.
CVE-2022-24682
ŚrednieCVSS 6.1KEVPrawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 98 - wyżej niż 98% wszystkich znanych CVE
Streszczenie
Podatność w funkcji Kalendarz w Zimbra Collaboration Suite 8.8.x przed 8.8.15 patch 30 pozwala atakującemu na wstrzyknięcie HTML z wykonywalnym JavaScriptem do atrybutów elementów. Znaczniki nie są poprawnie escapowane, co umożliwia wstrzyknięcie dowolnego kodu do dokumentu.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przejęcia konta lub rozprzestrzeniania złośliwego oprogramowania.
Rekomendacja
Zastosuj poprawkę (patch 30 lub nowszy). Ogranicz dostęp do aplikacji i edukuj użytkowników o ryzyku klikania w podejrzane linki.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in the Calendar feature in Zimbra Collaboration Suite 8.8.x before 8.8.15 patch 30 (update 1), as exploited in the wild starting in December 2021. An attacker could place HTML containing executable JavaScript inside element attributes. This markup becomes unescaped, causing arbitrary markup to be injected into the document.