CVE-2023-33186
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 45 - wyżej niż 45% wszystkich znanych CVE
Streszczenie
Zulip, narzędzie do współpracy zespołowej, ma podatność na atak typu cross-site scripting (XSS) w podpowiedziach na liście wiadomości. Atakujący może stworzyć złośliwy temat wiadomości, który po najechaniu kursorem przez ofiarę uruchomi kontrolowany przez niego kod JavaScript.
Ocena ryzyka
Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce ofiary, co stwarza ryzyko kradzieży danych lub przejęcia sesji użytkownika. Organizacje korzystające z Zulip powinny być świadome potencjalnych zagrożeń związanych z tą luką.
Rekomendacja
Zaleca się aktualizację Zulip Server do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, warto wprowadzić środki bezpieczeństwa, takie jak filtrowanie treści wiadomości.
Inne podatności w Zulip Server
Zobacz wszystkie- CVE-2017-0910Wysokie
W Zulip Server przed wersją 1.7.1 występuje podatność w systemie zaproszeń, która pozwala autoryzowanemu użytkownikowi z jednego realm na serwerze na utworzenie konta użytkownika w dowolnym innym realm.
- CVE-2026-102893Krytyczne
Zulip Server do wersji 12.1 zawiera podatność w backendzie GenericOpenIdConnectBackend, która nie odrzuca fałszywego claimu email_verified=false. Jeśli skonfigurowany dostawca tożsamości zwróci adres e-mail, którego uwierzytelniający użytkownik nie kontroluje, Zulip może zalogować użytkownika na istniejące konto dla tego adresu. Wymaga to błędnie skonfigurowanego zaufanego dostawcy tożsamości.
- CVE-2026-100404Średnie
Zulip Server w wersjach do 12.1 ujawnia gościom zdarzenia nowych wiadomości z publicznych kanałów, do których nie są zapisani. Gość może zarejestrować kolejkę zdarzeń żądającą wiadomości z niezasubskrybowanego kanału publicznego lub istniejąca kolejka może pozostać aktywna po odebraniu dostępu do kanału.
Oryginalny opis (angielski, źródło NVD)
Zulip is an open-source team collaboration tool with unique topic-based threading that combines the best of email and chat to make remote work productive and delightful. The main development branch of Zulip Server from May 2, 2023 and later, including beta versions 7.0-beta1 and 7.0-beta2, is vulnerable to a cross-site scripting vulnerability in tooltips on the message feed. An attacker who can send messages could maliciously craft a topic for the message, such that a victim who hovers the tooltip for that topic in their message feed triggers execution of JavaScript code controlled by the attacker.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS