Zimbra Daffodil v10.1.13 Security Patch Summary (CVE-2025-66376, LFI, XSS)

Zimbra Daffodil (v10.1.13) セキュリティ修正サマリー 1. 脆弱性概要 本アップデートでは、以下の主要なセキュリティ脆弱性の修正が行われました： 保存型XSS（Classic UI）: 攻撃者がメールのHTML内でCSS 指令を悪用できる。 資格情報漏洩: Flickr Zimlet内にハードコーディングされたFlickr APIの資格情報が存在した。 パストリバーサル/安全ではないファイルエクスポート: APIでパス検証が行われていなかった。 CSRF（クロスサイトリクエストフォージェリ）: 特定の認証フローにおいてCSRF強制チェックが欠落していた。 権限なしローカルファイルインクルード（LFI）: において権限なしアクセスの脆弱性が存在した。 PDFプレビューXSS: Classic Web AppにおけるPDFプレビュー機能に保存型XSSのリスクがあった。 情報漏洩: で不正なリクエストを受けて内部エラーを漏洩する可能性があった。 アカウント列挙: 管理者アカウントの列挙が可能だった。 依存ライブラリのリスク: Apache HttpClientライブラリのバージョンが古い。 2. 影響範囲 (CVE & CVSS) 3. 修正対応 Classic UI XSS: Classic UIにおける保存型XSS脆弱性を修正。 資格情報管理: Flickr ZimletからハードコーディングされたFlickr APIの資格情報を無効化し、削除。 APIセキュリティ: APIにパス検証を導入し、安全ではないファイルエクスポートを防ぐ。 CSRF修正: 特定の認証フローにおいて欠落していたCSRF強制の問題を解決。 LFI修正: における権限なしローカルファイルインクルードの脆弱性を解決。 機能削除: PDF添付ファイルに関連する保存型XSSリスクを排除するため、Classic Web AppからのPDFプレビューオプションを削除（直接ダウンロードに変更）。 入力検証: に入力検証とNULLチェックを追加し、内部エラーの漏洩を防ぐ。 アカウントセキュリティ: 管理者アカウントの列挙問題を解決。 依存関係のアップグレード: Apache HttpClientライブラリをバージョン4.5.14にアップグレード。 4. POC/ exploitコード 本ページには具体的なPOCコードやexploitコードは含まれていません。 ページ下部の「Packages」セクションには、アップグレード後の依存ライブラリバージョンのリスト（例： , , など）のみが記載されており、これはexploitコードではありません。

目標達成 すべての支援者に感謝 — 100%達成しました！

Zimbra Daffodil v10.1.13 Security Patch Summary (CVE-2025-66376, LFI, XSS)

目標達成すべての支援者に感謝 — 100%達成しました！