PT-2021-20840 · Zimbra · Zimbra Collaboration Suite

Simon Scannell · Publicado 2021-07-02 · Atualizado 2022-04-06 · CVE-2021-35208

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

**Nome do software vulnerável e versões afetadas:

Zimbra Collaboration Suite, versões 8.8.x a 8.8.15 Patch 22

Descrição:

Foi detectada uma falha no componente de convites do Calendário, especificamente no arquivo ZmMailMsgView.js. Essa falha permite que um invasor insira código HTML contendo JavaScript executável dentro dos atributos de elementos, o que faz com que o código não seja escapado e resulta na injeção de marcação arbitrária no documento.

Recomendações:

Para as versões 8.8.x a 8.8.15 Patch 22 do Zimbra Collaboration Suite, atualize para a versão 8.8.15 Patch 23 ou posterior para resolver o problema. Como solução temporária, considere restringir o uso do componente Calendar Invite até que um patch seja aplicado.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-35208

Produtos afetados

Zimbra Collaboration Suite

Referências · 8

• 🔥 https://blog.sonarsource.com/zimbra-webmail-compromise-via-email · Exploit
• https://wiki.zimbra.com/wiki/Zimbra_Security_Advisories · Aviso do Fabricante
• https://wiki.zimbra.com/wiki/Zimbra_Releases/8.8.15/P23 · Aviso do Fabricante
• https://t.me/cvenotify/18505 · Publicação no Telegram
• https://wiki.zimbra.com/wiki/Security_Center · Aviso do Fabricante
• https://wiki.zimbra.com/wiki/Zimbra_Releases/9.0.0/P16 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-35208 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-35208 · Nota de Segurança