Impatto Sistemico

Alto (70.64)

Sintesi

Rilevato lo sfruttamento attivo in rete della vulnerabilità CVE-2025-48700 – già sanata dal vendor – che interessa Zimbra Collaboration Suite (ZCS). Tale vulnerabilità, qualora sfruttata, potrebbe consentire ad un utente malintenzionato l’accesso ad informazioni sensibili sui sistemi interessati.

Tipologia

• Information Disclosure

Descrizione e potenziali impatti

È stato recentemente rilevato lo sfruttamento della vulnerabilità CVE-2025-48700 – di tipo “ Cross-Site Scripting ” e con score CVSS v3.x pari a 7.2 – presente nella Classic UI di Zimbra Collaboration Suite (ZCS).

La vulnerabilità è causata da una sanitizzazione insufficiente del contenuto HTML delle e‑mail visualizzate nell’interfaccia web di ZCS. In particolare, alcune parti del codice HTML delle e‑mail non vengono filtrate correttamente, consentendo l’inserimento di codice malevolo nascosto all’interno di tag e attributi apparentemente legittimi (ad esempio tramite direttive @import ). Ciò permette al codice JavaScript malevolo di eludere i controlli di sicurezza ed essere eseguito nel browser, nel contesto della sessione dell’utente vittima. Un attaccante potrebbe sfruttare tale vulnerabilità, tramite invio di e‑mail HTML opportunamente predisposte, e ottenere accesso non autorizzato a informazioni sensibili.

Prodotti e/o versioni affette

Zimbra Collaboration Suite (ZCS)

• 10.1.x, versioni precedenti alla 10.1.4
• 10.0.x, versioni precedenti alla 10.0.12
• 9.x, versioni precedenti alla 9.0.0 Patch 43
• 8.8.x, versioni precedenti alla 8.8.15 Patch 47

Azioni di Mitigazione

Ove non provveduto, si raccomanda di aggiornare i prodotti vulnerabili alle ultime versioni disponibili.