CVE-2022-24682
Orta CISA KEV: Aktif İstismarTeknik Veri (Otomatik)
- CVSS Skoru
- 6.1
- EPSS
- 30.9%
- CWE
- CWE-116
- KEV Durumu
- Evet
Yayım tarihi: 9 Şubat 2022 · CISA KEV son iyileştirme tarihi: 11 Mart 2022
Etkilenen: synacor zimbra_collaboration_suite
Zimbra Collaboration Suite 8.8.x'in 8.8.15 yama 30'a (güncelleme 1) kadar olan sürümlerindeki Takvim özelliğinde bir sorun keşfedildi ve bu, Aralık 2021'den itibaren vahşi ortamda istismar edildi. Saldırgan, çalıştırılabilir JavaScript içeren HTML'yi öğe özniteliklerine yerleştirebilirdi. Bu işaretleme kaçışsız hale geldiği için keyfi işaretleme belgeye enjekte edilir.
Orijinal açıklama (İngilizce)
An issue was discovered in the Calendar feature in Zimbra Collaboration Suite 8.8.x before 8.8.15 patch 30 (update 1), as exploited in the wild starting in December 2021. An attacker could place HTML containing executable JavaScript inside element attributes. This markup becomes unescaped, causing arbitrary markup to be injected into the document.
Referanslar
- https://blog.zimbra.com/2022/02/hotfix-available-5-feb-for-zero-day-exploit-vulnerability-in-zimbra-8-8-15/
- https://wiki.zimbra.com/wiki/Security_Center
- https://wiki.zimbra.com/wiki/Zimbra_Releases/8.8.15/P30
- https://wiki.zimbra.com/wiki/Zimbra_Security_Advisories
- https://www.volexity.com/blog/2022/02/03/operation-emailthief-active-exploitation-of-zero-day-xss-vulnerability-in-zimbra/
- https://blog.zimbra.com/2022/02/hotfix-available-5-feb-for-zero-day-exploit-vulnerability-in-zimbra-8-8-15/
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.