PT-2025-18172 · Zimbra · Zimbra Collaboration

CVE-2025-32354

·

Publicado

2025-04-29

·

Atualizado

2025-05-01

CVSS v3.1

8.8

Alta

VetorAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Nome do Software Vulnerável e Versões Afetadas Zimbra Collaboration (ZCS) versões 9.0 a 10.1
Descrição Existe uma vulnerabilidade de Cross-Site Request Forgery (CSRF) no endpoint GraphQL (/service/extension/graphql) do webmail do Zimbra devido à falta de validação de token CSRF. Isso permite que atacantes executem operações GraphQL não autorizadas, como modificar contatos, alterar configurações da conta e acessar dados sensíveis do usuário quando um usuário autenticado visita um site malicioso.
Recomendações Para as versões 9.0 a 10.1 do Zimbra Collaboration (ZCS), como medida temporária, considere desabilitar o endpoint GraphQL (/service/extension/graphql) até que uma correção esteja disponível. Restrinja o acesso ao endpoint GraphQL para minimizar o risco de exploração. Evite utilizar o endpoint GraphQL para operações sensíveis até que o problema seja resolvido.

Exploit

Correção

CSRF

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

BDU:2025-12727
CVE-2025-32354

Produtos afetados

Zimbra Collaboration