CVE-2024-33536

Nome do software vulnerável e versões afetadas:

Zimbra Collaboration Suite (ZCS), versões 9.0 a 10.0

Descrição:

O problema está relacionado à validação inadequada da entrada do parâmetro res, permitindo que um invasor autenticado injete e execute código JavaScript arbitrário no contexto da sessão do navegador de outro usuário. Isso pode ser feito através do upload de um arquivo JavaScript malicioso e da criação de uma URL contendo sua localização no parâmetro res. Quando outro usuário acessa a URL criada, o código JavaScript malicioso é executado.

Recomendações:

Para as versões 9.0 a 10.0 do Zimbra Collaboration Suite (ZCS), considere desativar a capacidade de fazer upload e executar arquivos JavaScript até que uma correção esteja disponível. Restrinja o acesso ao parâmetro res para minimizar o risco de exploração. Evite usar o parâmetro res em URLs até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.