- Aktif istismar
- CWE-79
CVE-2025-48700
Zimbra Collaboration Suite Classic UI'da siteler arası betik çalıştırma (XSS) açığı
- Yayımlandı
- Güncellendi
- 21 Nis 2026
- Açık yaşı
- 492 gün
- Kaydı açan
- mitre
ÖzetTürkçe
Zimbra Collaboration (ZCS) 8.8.15, 9.0, 10.0 ve 10.1 sürümlerinde bir sorun tespit edilmiştir. Zimbra Classic UI'daki siteler arası betik çalıştırma (XSS) açığı, saldırganların kullanıcının oturumu içinde keyfi JavaScript çalıştırmasına olanak tanır ve bu da hassas bilgilere yetkisiz erişimle sonuçlanabilir. Sorun, HTML içeriğinin yetersiz temizlenmesinden kaynaklanmaktadır; özellikle @import yönergesi ve diğer betik enjeksiyon vektörlerini içeren özel hazırlanmış etiket yapıları ve öznitelik değerleri bu duruma yol açmaktadır. Açık, kullanıcının Classic UI'da özel hazırlanmış bir e-posta iletisini görüntülemesiyle tetiklenmekte olup ek bir kullanıcı etkileşimi gerektirmemektedir.
Kaynaktaki açıklama (İngilizce)
An issue was discovered in Zimbra Collaboration (ZCS) 8.8.15 and 9.0 and 10.0 and 10.1. A Cross-Site Scripting (XSS) vulnerability in the Zimbra Classic UI allows attackers to execute arbitrary JavaScript within the user's session, potentially leading to unauthorized access to sensitive information. This issue arises from insufficient sanitization of HTML content, specifically involving crafted tag structures and attribute values that include an @import directive and other script injection vectors. The vulnerability is triggered when a user views a crafted e-mail message in the Classic UI, requiring no additional user interaction.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Synacor Zimbra Collaboration Suite (ZCS) | Sürüm belirtilmemiş | – |
Kaynaklar5 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.