← Toutes les vulnérabilités exploitées (KEV)

Vulnérabilités Synacor activement exploitées (KEV)

Les 19 vulnérabilités Synacor dont la CISA a confirmé l’exploitation réelle, de la plus récente à la plus ancienne, dont 6 utilisées par des rançongiciels. Textes traduits automatiquement ; la fiche de la CISA fait foi.

CVE-2026-73570 — Synacor, Zimbra Collaboration Suite (ZCS) : injection de commandes système

Produit : Synacor Zimbra Collaboration Suite (ZCS)
Ajoutée au catalogue : 21 août 2026
Échéance CISA : 24 août 2026
Rançongiciels : pas d’usage connu
Faiblesse : CWE-78
Gravité : CVSS 8,9 (élevée)
Probabilité d’exploitation (EPSS) : 72 %

Zimbra Collaboration Suite (ZCS) contient une vulnérabilité d'injection de commandes système qui pourrait permettre à un attaquant non authentifié d'envoyer des requêtes SMTP spécialement conçues pouvant entraîner l'exécution de commandes système arbitraires en tant qu'utilisateur Zimbra.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · wiki.zimbra.com · blog.zimbra.com

CVE-2025-48700 — Synacor, Zimbra Collaboration Suite (ZCS) : vulnérabilité cross-site scripting

Produit : Synacor Zimbra Collaboration Suite (ZCS)
Ajoutée au catalogue : 20 avril 2026
Échéance CISA : 23 avril 2026
Rançongiciels : pas d’usage connu
Faiblesse : CWE-79
Gravité : CVSS 6,1 (moyenne)
Probabilité d’exploitation (EPSS) : 2 %

Synacor Zimbra Collaboration Suite (ZCS) contient une vulnérabilité cross-site scripting qui pourrait permettre à des attaquants d'exécuter du code JavaScript arbitraire dans la session de l'utilisateur, conduisant potentiellement à un accès non autorisé à des informations sensibles.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · wiki.zimbra.com

CVE-2025-66376 — Synacor, Zimbra Collaboration Suite (ZCS) : vulnérabilité cross-site scripting

Produit : Synacor Zimbra Collaboration Suite (ZCS)
Ajoutée au catalogue : 18 mars 2026
Échéance CISA : 1 avril 2026
Rançongiciels : pas d’usage connu
Faiblesse : CWE-79
Gravité : CVSS 6,1 (moyenne)
Probabilité d’exploitation (EPSS) : 20 %

Synacor Zimbra Collaboration Suite (ZCS) contient une vulnérabilité cross-site scripting dans l'interface utilisateur classique où des attaquants pourraient abuser des directives @import de feuilles de style en cascade (CSS) dans le html des e-mails.

Références : NVD · CISA · wiki.zimbra.com

CVE-2020-7796 — Synacor, Zimbra Collaboration Suite : vulnérabilité de falsification de requêtes côté serveur Critique

Produit : Synacor Zimbra Collaboration Suite
Ajoutée au catalogue : 17 février 2026
Échéance CISA : 10 mars 2026
Rançongiciels : pas d’usage connu
Faiblesse : CWE-918
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 94 %

Synacor Zimbra Collaboration Suite (ZCS) contient une vulnérabilité de falsification de requêtes côté serveur si zimlet WebEx est installé et que zimlet JSP est activé.

Références : NVD · CISA · wiki.zimbra.com

Fiche détaillée : versions, références, chronologie →

CVE-2025-68645 — Synacor, Zimbra Collaboration Suite (ZCS) : vulnérabilité d'inclusion de fichiers PHP à distance

Produit : Synacor Zimbra Collaboration Suite (ZCS)
Ajoutée au catalogue : 22 janvier 2026
Échéance CISA : 12 février 2026
Rançongiciels : pas d’usage connu
Faiblesse : CWE-98
Gravité : CVSS 8,8 (élevée)
Probabilité d’exploitation (EPSS) : 49 %
Technologie : PHP

Synacor Zimbra Collaboration Suite (ZCS) contient une vulnérabilité d'inclusion de fichiers PHP à distance qui pourrait permettre à des attaquants distants de créer des requêtes vers le point de terminaison /h/rest pour influencer le dispatching de requêtes interne, permettant l'inclusion de fichiers arbitraires du répertoire WebRoot.

Références : NVD · CISA · wiki.zimbra.com

CVE-2025-27915 — Synacor, Zimbra Collaboration Suite (ZCS) : vulnérabilité cross-site scripting

Produit : Synacor Zimbra Collaboration Suite (ZCS)
Ajoutée au catalogue : 7 octobre 2025
Échéance CISA : 28 octobre 2025
Rançongiciels : pas d’usage connu
Faiblesse : CWE-79
Gravité : CVSS 5,4 (moyenne)
Probabilité d’exploitation (EPSS) : 4 %

Synacor Zimbra Collaboration Suite (ZCS) contient une vulnérabilité cross-site scripting dans le Classic Web Client due à une assainissement insuffisant du contenu HTML dans les fichiers ICS. Lorsqu'un utilisateur visualise un message e-mail contenant une entrée ICS malveillante, son JavaScript intégré s'exécute via un événement ontoggle à l'intérieur d'une balise. Cela permet à un attaquant d'exécuter du JavaScript arbitraire dans la session de la victime, pouvant potentiellement entraîner des actions non autorisées telles que la configuration de filtres e-mail pour rediriger les messages vers une adresse contrôlée par l'attaquant. Par conséquent, un attaquant peut effectuer des actions non autorisées sur le compte de la victime, y compris la redirection d'e-mails et l'exfiltration de données.

Références : NVD · CISA · wiki.zimbra.com

CVE-2019-9621 — Synacor, Zimbra Collaboration Suite (ZCS) : vulnérabilité de falsification de requêtes côté serveur (SSRF)

Produit : Synacor Zimbra Collaboration Suite (ZCS)
Ajoutée au catalogue : 7 juillet 2025
Échéance CISA : 28 juillet 2025
Rançongiciels : pas d’usage connu
Faiblesse : CWE-918, CWE-807
Gravité : CVSS 7,5 (élevée)
Probabilité d’exploitation (EPSS) : 81 %

Synacor Zimbra Collaboration Suite (ZCS) contient une vulnérabilité de falsification de requêtes côté serveur (SSRF) via le composant ProxyServlet.

Références : NVD · CISA · wiki.zimbra.com · wiki.zimbra.com

CVE-2024-27443 — Synacor, Zimbra Collaboration Suite (ZCS) : vulnérabilité cross-site scripting (XSS)

Produit : Synacor Zimbra Collaboration Suite (ZCS)
Ajoutée au catalogue : 19 mai 2025
Échéance CISA : 9 juin 2025
Rançongiciels : pas d’usage connu
Faiblesse : CWE-79
Gravité : CVSS 6,1 (moyenne)
Probabilité d’exploitation (EPSS) : 25 %

Zimbra Collaboration contient une vulnérabilité cross-site scripting (XSS) dans la fonctionnalité CalendarInvite de l'interface utilisateur classique de Zimbra webmail. Un attaquant peut exploiter cette vulnérabilité via un message e-mail contenant un en-tête de calendrier élaboré, ce qui entraîne l'exécution de code JavaScript arbitraire.

Références : NVD · CISA · wiki.zimbra.com · wiki.zimbra.com · wiki.zimbra.com

CVE-2023-34192 — Synacor Zimbra Collaboration Suite (ZCS) : vulnérabilité cross-site scripting (XSS)

Produit : Synacor Zimbra Collaboration Suite (ZCS)
Ajoutée au catalogue : 25 février 2025
Échéance CISA : 18 mars 2025
Rançongiciels : pas d’usage connu
Faiblesse : CWE-79
Gravité : CVSS 9,0 (critique)
Probabilité d’exploitation (EPSS) : 77 %

Synacor Zimbra Collaboration Suite (ZCS) contient une vulnérabilité cross-site scripting (XSS) qui permet à un attaquant authentifié à distance d'exécuter du code arbitraire via un script élaboré vers la fonction /h/autoSaveDraft.

Références : NVD · CISA · wiki.zimbra.com

CVE-2024-45519 — Synacor Zimbra Collaboration Suite (ZCS) : exécution de commandes

Produit : Synacor Zimbra Collaboration Suite (ZCS)
Ajoutée au catalogue : 3 octobre 2024
Échéance CISA : 24 octobre 2024
Rançongiciels : pas d’usage connu
Faiblesse : CWE-284
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 100 %

Synacor Zimbra Collaboration Suite (ZCS) contient une vulnérabilité non spécifiée dans le service postjournal qui pourrait permettre à un utilisateur non authentifié d'exécuter des commandes.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · wiki.zimbra.com

CVE-2023-37580 — Synacor Zimbra Collaboration Suite (ZCS) : vulnérabilité cross-site scripting (XSS)

Produit : Synacor Zimbra Collaboration Suite (ZCS)
Ajoutée au catalogue : 27 juillet 2023
Échéance CISA : 17 août 2023
Rançongiciels : pas d’usage connu
Faiblesse : CWE-79
Gravité : CVSS 6,1 (moyenne)
Probabilité d’exploitation (EPSS) : 49 %

Synacor Zimbra Collaboration Suite (ZCS) contient une vulnérabilité cross-site scripting (XSS) affectant la confidentialité et l'intégrité des données.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · wiki.zimbra.com

CVE-2022-27926 — Synacor Zimbra Collaboration Suite (ZCS) : vulnérabilité cross-site scripting (XSS)

Produit : Synacor Zimbra Collaboration Suite (ZCS)
Ajoutée au catalogue : 3 avril 2023
Échéance CISA : 24 avril 2023
Rançongiciels : pas d’usage connu
Faiblesse : CWE-79, CWE-138
Gravité : CVSS 6,1 (moyenne)
Probabilité d’exploitation (EPSS) : 18 %

Synacor Zimbra Collaboration Suite (ZCS) contient une vulnérabilité cross-site scripting en permettant à une url de point d'accès d'accepter des paramètres sans les assainir.