CVE-2025-48700: presente nel catalogo CISA KEV

CVE-2025-48700 · CVSS 6.1 MEDIUM · EPSS 2% · KEV 2026-04-20 · patch disponibile

An issue was discovered in Zimbra Collaboration (ZCS) 8.8.15 and 9.0 and 10.0 and 10.1. A Cross-Site Scripting (XSS) vulnerability in the Zimbra Classic UI allows attackers to execute arbitrary JavaScript within the user's session, potentially leading to unauthorized access to sensitive information. This issue arises from insufficient sanitization of HTML content, specifically involving crafted tag structures and attribute values that include an @import directive and other script injection vectors. The vulnerability is triggered when a user views a crafted e-mail message in the Classic UI, requiring no additional user interaction.

CVE-2025-48700 viene sfruttato?

Inserito nel catalogo CISA KEV il 2026-04-20.
Scadenza di remediation federale: 2026-04-23.
Oltre quella data da 190 giorni.
EPSS stima la probabilità di sfruttamento nei prossimi 30 giorni al 2%.
Codice di exploit pubblico: nessuno trovato nelle fonti monitorate.

Quali prodotti e versioni sono interessati?

synacor · zimbra collaboration suite · >= 10.0.0, < 10.0.12, >= 10.1.0, < 10.1.4, 8.8.15, 9.0.0

Esiste una patch?

Sì. Aggiorna a una di queste versioni o successive:

zimbra collaboration suite 10.0.0	10.0.12
zimbra collaboration suite 10.1.0	10.1.4

Dall'analisi di NVD

Cosa ha pubblicato PlainSec su CVE-2025-48700

PlainSec non ha pubblicato storie su questo CVE.

Fonti primarie

KEV ed EPSS vengono ricontrollati ogni giorno. Scheda aggiornata il 2026-09-24.