CVE-2025-66376: fallo de gravedad alta en Zimbra Collaboration
Publicada el · Actualizada el
Prioriza la corrección. Ella está bajo explotación confirmada por CISA.
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Zimbra Collaboration permite que atacantes inyecten código malicioso en mensajes de correo electrónico mediante trucos de CSS. Cuando la víctima ve el correo en la interfaz clásica, el código inyectado se ejecuta en su navegador, pudiendo robar datos o comprometer su cuenta.
Vulnerabilidad XSS almacenado en Zimbra ZCS 10.x (antes de 10.0.18 y 10.1.x antes de 10.1.13) mediante directivas CSS @import en mensajes de correo HTML. El vector de ataque es basado en red; un atacante envía un correo elaborado que ejecuta JavaScript en el contexto de la sesión Classic UI de la víctima. El impacto incluye secuestro de sesión, robo de credenciales y acciones no autorizadas en nombre de la víctima.
El análisis completo de esta CVE está disponible en portugués →
En el mismo producto, de las más peligrosas a las menos.