6.1
CVSS 3.1
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Да
Атакува се
в каталога KEV от 25 февруари 2022
Атакува се в момента
16 дни
Време до експлоатация
след публикуването
Атакува се по мрежата, без особени условия, без вход и след действие от потребителя.
- Използва се в рансъмуер атаки
- Експлоатация: активно се експлоатира
- Атаката не може да се автоматизира
Описание
Оригинално описание
An issue was discovered in the Calendar feature in Zimbra Collaboration Suite 8.8.x before 8.8.15 patch 30 (update 1), as exploited in the wild starting in December 2021. An attacker could place HTML containing executable JavaScript inside element attributes. This markup becomes unescaped, causing arbitrary markup to be injected into the document.
Засегнати продукти
- n/a n/a: n/a
Вид слабост
История
- 9 февруари 2022 Публикувано
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2022-24682
- https://nvd.nist.gov/vuln/detail/CVE-2022-24682
- https://wiki.zimbra.com/wiki/Zimbra_Security_Advisories
- https://wiki.zimbra.com/wiki/Security_Center
- https://www.volexity.com/blog/2022/02/03/operation-emailthief-active-exploitation-of-zero-day-xss-vulnerability-in-zimbra/
- https://blog.zimbra.com/2022/02/hotfix-available-5-feb-for-zero-day-exploit-vulnerability-in-zimbra-8-8-15/
- https://wiki.zimbra.com/wiki/Zimbra_Releases/8.8.15/P30
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-24682