PT-2024-31673 · Zimbra · Zimbra Daffodil+2

CVE-2024-45514

·

Publicado

2024-09-23

·

Atualizado

2025-06-11

CVSS v3.1

5.4

Média

VetorAV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
Nome do software vulnerável e versões afetadas:
Versões do Zimbra Collaboration (ZCS) anteriores à 10.1.1
Descrição:
Existe uma vulnerabilidade de Cross-Site Scripting (XSS) devido à sanitização insuficiente do parâmetro packages em um dos endpoints do Zimbra Webmail. Isso permite que invasores contornem as verificações existentes usando caracteres codificados, possibilitando a injeção e execução de código JavaScript arbitrário na sessão da vítima.
Recomendações:
Para versões anteriores à 10.1.1, atualize para a versão de patch do Zimbra Daffodil (v10.1.1) para resolver a vulnerabilidade de Cross-Site Scripting (XSS).
Como solução temporária, considere restringir o acesso ao endpoint vulnerável no Zimbra Webmail até que o patch seja aplicado.

Exploit

Correção

XSS

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-45514

Produtos afetados

Zimbra Collaboration
Zimbra Daffodil
Zimbra Webmail