Descripción
Synacor Zimbra Collaboration Suite (ZCS) contiene una vulnerabilidad de cross-site scripting (XSS) presente en el Classic Web Client debido a una sanitización insuficiente del contenido HTML en archivos ICS. Cuando un usuario visualiza un mensaje de correo electrónico que contiene una entrada ICS maliciosa, el JavaScript incrustado se ejecuta mediante un evento ontoggle dentro de una etiqueta. Esto permite que un atacante ejecute JavaScript arbitrario dentro de la sesión de la víctima, lo que podría derivar en acciones no autorizadas, como configurar filtros de correo para redirigir mensajes a una dirección controlada por el atacante. Como resultado, un atacante puede realizar acciones no autorizadas en la cuenta de la víctima, incluida la redirección de correos y la exfiltración de datos.
Acción recomendada
Aplicar las mitigaciones del fabricante y, en servicios en la nube, seguir las recomendaciones de seguridad del proveedor; si no hay mitigaciones disponibles, discontinuar el uso del producto.
Referencia de CISA para agencias federales de EE. UU.: BOD 22-01.
Referencias
- Aviso de wiki.zimbra.com wiki.zimbra.com/wiki/Security_Center
- Ficha en NVD (NIST) nvd.nist.gov/vuln/detail/CVE-2025-27915
Ver el texto original en inglés (CISA)
Synacor Zimbra Collaboration Suite (ZCS) Cross-site Scripting Vulnerability
Synacor Zimbra Collaboration Suite (ZCS) contains a cross-site scripting vulnerability that exists in the Classic Web Client due to insufficient sanitization of HTML content in ICS files. When a user views an e-mail message containing a malicious ICS entry, its embedded JavaScript executes via an ontoggle event inside a tag. This allows an attacker to run arbitrary JavaScript within the victim's session, potentially leading to unauthorized actions such as setting e-mail filters to redirect messages to an attacker-controlled address. As a result, an attacker can perform unauthorized actions on the victim's account, including e-mail redirection and data exfiltration.
Required action: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Notes: https://wiki.zimbra.com/wiki/Security_Center ; https://nvd.nist.gov/vuln/detail/CVE-2025-27915
Otras vulnerabilidades de Synacor en el catálogo
- CVE-2026-73570 Vulnerabilidad de inyección de comandos del sistema operativo en Zimbra Collaboration Suite (ZCS) Alta 21-08-2026
- CVE-2025-48700 Vulnerabilidad de cross-site scripting (XSS) en Synacor Zimbra Collaboration Suite (ZCS) Alta 20-04-2026
- CVE-2025-66376 Vulnerabilidad de cross-site scripting (XSS) en Synacor Zimbra Collaboration Suite (ZCS) Alta 18-03-2026
- CVE-2020-7796 Vulnerabilidad de falsificación de solicitudes del lado del servidor (SSRF) en Synacor Zimbra Collaboration Suite (ZCS) Alta 17-02-2026
- CVE-2025-68645 Vulnerabilidad de inclusión de archivos remotos (RFI) en PHP en Synacor Zimbra Collaboration Suite (ZCS) Alta 22-01-2026