HackerNews 编译，转载请注明出处：

据非营利性安全组织 Shadowserver 称，超一万台暴露在互联网上的 Zimbra 协作套件（ZCS）实例，因一个跨站脚本（XSS）安全漏洞，正面临持续攻击风险。

Zimbra 是一款广受欢迎的电子邮件与协作软件套件，全球数亿人在使用，...

HackerNews 编译，转载请注明出处： 美国网络安全与基础设施安全局（CISA）已责令美国政府机构对其服务器采取防护措施，以应对 Zimbra 协作套件（ZCS）中一个正在遭主动利用的漏洞。Zimbra 是一款广受欢迎的电子邮件与协作软件套件，全球数亿人在使用，其中包括数千家企业和数百家政府机构。 该漏洞编号为 CVE - 2025 - 66376，已于 11 月初修复。这个严重级别的安全漏洞源于经典用户界面（Classic UI）中的一个存储型跨站脚本（XSS）弱点，远程未认证攻击者可通过滥用电子邮件 HTML 中的层叠样式表（CSS）@import 指令加以利用。...

HackerNews 编译，转载请注明出处： 美国网络安全与基础设施安全局（CISA）周二将影响微软合作伙伴中心（Microsoft Partner Center）和 Synacor Zimbra 协作套件（ZCS）的两个安全漏洞添加到其已知被利用漏洞（KEV）目录中，基于这些漏洞正被积极利用的证据。 这两个漏洞分别是：

CVE-2024-49035（CVSS 评分：8.7）：微软合作伙伴中心的一个不当访问控制漏洞，允许攻击者提升权限。（已于 2024 年 11 月修复）
CVE-2023-34192（CVSS 评分：9.0）：Synacor ZCS 的一个跨站脚本（XSS）漏洞，...

HackerNews 编译，转载请注明出处： 2025年2月10日，Zimbra发布了软件更新，修复了其协作软件中的多个关键安全漏洞。如果这些漏洞被成功利用，可能会在某些条件下导致信息泄露。 其中一个漏洞被追踪为CVE-2025-25064，CVSS评分为9.8（满分10.0），是ZimbraSync服务SOAP端点中的SQL注入漏洞，影响10.0.12和10.1.4之前的版本。该漏洞源于对用户提供的参数缺乏足够的清理，攻击者可利用此漏洞注入任意SQL查询，...

Hackernews 编译，转载请注明出处： 谷歌的研究人员发现，黑客利用 Zimbra 电子邮件产品的一个漏洞，攻击了希腊、突尼斯、摩尔多瓦、越南和巴基斯坦的政府机构。 谷歌的威胁分析团队在 6 月份首次发现了这个漏洞，编号为 CVE-2023-37580。从 6 月开始，四个不同的组织利用零日漏洞攻击了 Zimbra Collaboration，这是一个许多组织用来托管电子邮件的电子邮件服务器。...

Hackernews 编译，转载请注明出处： 周四，美国网络安全和基础设施安全局在其“已知利用漏洞目录”中增加了两个漏洞，称有证据表明这些漏洞被积极利用。 这两个高度严重的漏洞与Zimbra Collaboration中的缺陷有关，这两个漏洞都可以链接在受影响的电子邮件服务器上，实现未经身份验证的远程代码执行。

CVE-2022-27925（CVSS评分：7.2） - 认证用户通过mboximport远程代码执行（RCE）（在3月份发布的版本8....

Zimbra 的请求路由图 （SonarSource） HTTP 请求（上）和发送到服务器的消息（下）（SonarSource） 邮件客户端（如Thunderbird、Microsoft Outlook、macOS等邮件应用程序和智能手机邮件应用程序）通常会将用户连接到其IMAP服务器的凭据存储在磁盘上，因此该漏洞在利用时不需要任何用户交互。但是，当邮件客户端重新启动或需要重新连接时，...