CVE-2023-33186

WysokieCVSS 8.2

Opublikowano: 30/05/2023(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/06/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.62%

Percentyl 45 - wyżej niż 45% wszystkich znanych CVE

Streszczenie

Zulip, narzędzie do współpracy zespołowej, ma podatność na atak typu cross-site scripting (XSS) w podpowiedziach na liście wiadomości. Atakujący może stworzyć złośliwy temat wiadomości, który po najechaniu kursorem przez ofiarę uruchomi kontrolowany przez niego kod JavaScript.

Ocena ryzyka

Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce ofiary, co stwarza ryzyko kradzieży danych lub przejęcia sesji użytkownika. Organizacje korzystające z Zulip powinny być świadome potencjalnych zagrożeń związanych z tą luką.

Rekomendacja

Zaleca się aktualizację Zulip Server do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, warto wprowadzić środki bezpieczeństwa, takie jak filtrowanie treści wiadomości.

Inne podatności w Zulip Server

CVE-2017-0910Wysokie
W Zulip Server przed wersją 1.7.1 występuje podatność w systemie zaproszeń, która pozwala autoryzowanemu użytkownikowi z jednego realm na serwerze na utworzenie konta użytkownika w dowolnym innym realm.

Oryginalny opis (angielski, źródło NVD)

Zulip is an open-source team collaboration tool with unique topic-based threading that combines the best of email and chat to make remote work productive and delightful. The main development branch of Zulip Server from May 2, 2023 and later, including beta versions 7.0-beta1 and 7.0-beta2, is vulnerable to a cross-site scripting vulnerability in tooltips on the message feed. An attacker who can send messages could maliciously craft a topic for the message, such that a victim who hovers the tooltip for that topic in their message feed triggers execution of JavaScript code controlled by the attacker.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS