CVE Details - Red Hot Cyber
Red Hot Cyber
Condividi la tua difesa. Incoraggia l'eccellenza. La vera forza della cybersecurity risiede nell'effetto moltiplicatore della conoscenza.
Cerca
TM RedHotCyber 970x120 042543
Redhotcyber Banner Sito 320x100px Uscita 101125

CVE-2025-27915

Consulta le ultime CVE critiche emesse
Questo è un servizio gratuito offerto da Red Hot Cyber alla comunità. Consente di consultare, in un’unica pagina, le informazioni relativa ad una singola CVE provenienti dal National Vulnerability Database (NVD) e del National Institute of Standards and Technology (NIST) degli Stati Uniti d’America, del Forum of Incident Response and Security Teams (FIRST) per quanto riguarda l’EPSS score e il percentile, i dati del catalogo KEV del Cybersecurity and Infrastructure Security Agency (CISA), oltre a risorse selezionate di Red Hot Cyber e altre fonti internazionali.

National Vulnerability Database Information

Descrizione: An issue was discovered in Zimbra Collaboration (ZCS) 9.0 and 10.0 and 10.1. A stored cross-site scripting (XSS) vulnerability exists in the Classic Web Client due to insufficient sanitization of HTML content in ICS files. When a user views an e-mail message containing a malicious ICS entry, its embedded JavaScript executes via an ontoggle event inside a <details> tag. This allows an attacker to run arbitrary JavaScript within the victim's session, potentially leading to unauthorized actions such as setting e-mail filters to redirect messages to an attacker-controlled address. As a result, an attacker can perform unauthorized actions on the victim's account, including e-mail redirection and data exfiltration.

Base Score CVSS: 5.4 (v3.1)

Il **Base Score CVSS** è un punteggio da **0 a 10** che rappresenta la gravità intrinseca di una vulnerabilità. Un punteggio più alto indica una gravità maggiore.

Valore
0.02.55.07.510.0
Pubblicato il: 12/03/2025 15:15:39
Ultima modifica: 04/11/2025 16:45:11
NIST: Sorgente CVE dal National Vulnerability Database (NVD)

Metriche CVSS Dettagli

  • Base Severity: MEDIUM
  • Vector String: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
  • Attack Vector: NETWORK
  • Attack Complexity: LOW
  • Privileges Required: LOW
  • User Interaction: REQUIRED
  • Scope: CHANGED
  • Confidentiality Impact: LOW
  • Integrity Impact: LOW
  • Availability Impact: NONE

Common Weakness Enumeration (CWE)

Database CWE: v4.18

CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') ↗

The product does not neutralize or incorrectly neutralizes user-controllable input before it is placed in output that is used as a web page that is served to other users.

Fonte: MITRE CWE


FIRST information

EPSS Score: 0.3062

L'**EPSS (Exploit Prediction Scoring System)** è un punteggio da **0 a 1** che indica la **probabilità** che una vulnerabilità venga sfruttata nel mondo reale nei prossimi 30 giorni. Un valore più alto indica una maggiore probabilità di exploit.

Valore
0.00.250.50.751.0

Percentile: 0.9652

Il **Percentile** indica quanto il punteggio EPSS di questa vulnerabilità sia più alto rispetto a quello di tutte le altre vulnerabilità nel database EPSS. Ad esempio, un percentile di 0.90 (90%) significa che il 90% delle vulnerabilità ha un EPSS score uguale o inferiore a quello attuale.

Valore
0.00.250.50.751.0

*Dati aggiornati al: 2025-12-04


CISA Information (Known Exploited Vulnerabilities)

Il **CISA KEV Catalog** elenca le vulnerabilità che sono state **attivamente sfruttate nel mondo reale**. Se una CVE è presente in questo catalogo, indica che la minaccia è immediata e la mitigazione dovrebbe essere una priorità assoluta.

La CVE **CVE-2025-27915** **È PRESENTE** nel CISA KEV Catalog!

  • Nome della Vulnerabilità: Synacor Zimbra Collaboration Suite (ZCS) Cross-site Scripting Vulnerability
  • Descrizione Breve: Synacor Zimbra Collaboration Suite (ZCS) contains a cross-site scripting vulnerability that exists in the Classic Web Client due to insufficient sanitization of HTML content in ICS files. When a user views an e-mail message containing a malicious ICS entry, its embedded JavaScript executes via an ontoggle event inside a tag. This allows an attacker to run arbitrary JavaScript within the victim's session, potentially leading to unauthorized actions such as setting e-mail filters to redirect messages to an attacker-controlled address. As a result, an attacker can perform unauthorized actions on the victim's account, including e-mail redirection and data exfiltration.
  • Data Aggiunta al KEV: 07/10/2025
  • Vendor/Prodotto: Synacor / Zimbra Collaboration Suite (ZCS)
  • Required Action: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
  • Due Date: 28/10/2025

Articoli pubblicati su Red Hot Cyber


Riferimenti NVD

Exploit PoC da GitHub

Nessun risultato trovato su GitHub per questa CVE.