CVE-2022-24682mediumbajo ataqueransomwareCWE-116

CVE-2022-24682

Publicada el · Actualizada el

70Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 6.1epss 31%
de la publicación al arma
Publicada en NVD9 feb
CISA KEV+16d
probabilidad de explotación
31%top 2% de las CVE
explotación observada
síCISA + VulnCheck
Acción exigida por CISAplazo federal: 2022-03-11

Apply updates per vendor instructions.

En resumen

Una vulnerabilidad en la función de Calendario de Zimbra permite a atacantes inyectar código JavaScript malicioso a través de HTML en elementos del calendario. Esto puede conducir a acciones no autorizadas en la cuenta del usuario cuando visualiza el contenido afectado.

Detalle técnico

La vulnerabilidad existe en la función de Calendario donde la entrada proporcionada por el usuario en atributos de elementos no se escapa adecuadamente antes de procesarse en el DOM, resultando en inyección de HTML/JavaScript (CWE-116). Un atacante puede crear entradas de calendario maliciosas que contengan payloads JavaScript que se ejecuten en el contexto de la sesión del navegador de la víctima, potencialmente conduciendo al secuestro de sesión o compromiso de la cuenta.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

An issue was discovered in the Calendar feature in Zimbra Collaboration Suite 8.8.x before 8.8.15 patch 30 (update 1), as exploited in the wild starting in December 2021. An attacker could place HTML containing executable JavaScript inside element attributes. This markup becomes unescaped, causing arbitrary markup to be injected into the document.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Productos afectados
n/a · n/a
Referencias
https://blog.zimbra.com/2022/02/hotfix-available-5-feb-for-zero-day-exploit-vulnerability-in-zimbra-8-8-15/https://wiki.zimbra.com/wiki/Security_Centerhttps://wiki.zimbra.com/wiki/Zimbra_Releases/8.8.15/P30https://wiki.zimbra.com/wiki/Zimbra_Security_Advisorieshttps://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-24682https://www.volexity.com/blog/2022/02/03/operation-emailthief-active-exploitation-of-zero-day-xss-vulnerability-in-zimbra/