CVE-2022-27926mediumbajo ataqueCWE-79

CVE-2022-27926

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Zimbra Collaboration Suite

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

63Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 6.1epss 18%
de la publicación al arma
Publicada en NVD20 abr
CISA KEV+348d
Acción exigida por CISAplazo federal: 2023-04-24

Apply updates per vendor instructions.

En resumen

Un fallo en Zimbra Collaboration 9.0 permite que atacantes inyecten scripts maliciosos en páginas web a través de parámetros de URL, que se ejecutan en los navegadores de los usuarios. Esto puede robar datos sensibles o secuestrar sesiones sin necesidad de autenticación.

Detalle técnico

Vulnerabilidad XSS reflejada en el componente /public/launchNewWindow.jsp explotable mediante parámetros de solicitud no sanitizados. Atacantes no autenticados pueden crear URLs maliciosas para inyectar JavaScript arbitrario que se ejecute en navegadores de víctimas, comprometiendo la integridad de sesión y permitiendo robo de credenciales.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

A reflected cross-site scripting (XSS) vulnerability in the /public/launchNewWindow.jsp component of Zimbra Collaboration (aka ZCS) 9.0 allows unauthenticated attackers to execute arbitrary web script or HTML via request parameters.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Productos afectados
n/a · n/a