PT-2022-23767 · Zimbra · Zimbra Collaboration Suite

CVE-2022-37044

·

Publicado

2022-08-11

·

Atualizado

2022-08-16

CVSS v3.1

6.1

Média

VetorAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Nome do software vulnerável e versões afetadas
Zimbra Collaboration Suite versão 8.8.15
Descrição
O problema diz respeito a um XSS refletido no endpoint da API /h/search?action, que aceita parâmetros chamados extra, title e onload, os quais são parcialmente sanitizados. Isso permite a execução de código JavaScript arbitrário na máquina da vítima.
Recomendações
Para o Zimbra Collaboration Suite versão 8.8.15, considere restringir o acesso ao endpoint da API /h/search?action até que um patch esteja disponível. Como solução temporária, evite usar os parâmetros extra, title e onload no endpoint afetado para minimizar o risco de exploração.

Exploit

Correção

XSS

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2022-37044

Produtos afetados

Zimbra Collaboration Suite