GFI KerioConnect Signature EditHtmlSource cross site scripting
अनुवाद हो रहा है…प्लेटफ़ॉर्म
other
में ठीक किया गया
10.0.7
CVE-2025-2975 describes a problematic cross-site scripting (XSS) vulnerability discovered in GFI KerioConnect versions 10.0.6. This flaw allows attackers to inject malicious scripts via manipulation of the Settings/Email/Signature/EditHtmlSource component. Affected users should upgrade to version 10.0.7 to mitigate this risk. The vulnerability has been publicly disclosed.
प्रभाव और हमले की स्थितियाँअनुवाद हो रहा है…
Successful exploitation of CVE-2025-2975 enables an attacker to execute arbitrary JavaScript code within the context of a victim's browser session. This can lead to a variety of malicious outcomes, including session hijacking, phishing attacks, and defacement of the KerioConnect web interface. An attacker could potentially steal sensitive information, such as email credentials or contact details, or redirect users to malicious websites. The impact is amplified if the KerioConnect server is used to manage email for multiple users, as a single successful attack could compromise numerous accounts.
शोषण संदर्भअनुवाद हो रहा है…
This vulnerability has been publicly disclosed, increasing the likelihood of exploitation. While the CVSS score is LOW, the ease of exploitation and potential impact warrant immediate attention. No known active campaigns have been reported at this time, but the public availability of the vulnerability makes it a prime target for opportunistic attackers. The vendor's lack of response to the disclosure is concerning.
कौन जोखिम में हैअनुवाद हो रहा है…
Organizations utilizing KerioConnect version 10.0.6, particularly those with shared hosting environments or legacy configurations, are at increased risk. Users who frequently modify email signatures through the web interface are also more vulnerable.
हमले की समयरेखा
- Disclosure
disclosure
खतरा खुफिया
एक्सप्लॉइट स्थिति
EPSS
0.14% (33% शतमक)
CISA SSVC
CVSS वेक्टर
इन मेट्रिक्स का क्या मतलब है?
- Attack Vector
- नेटवर्क — इंटरनेट के माध्यम से दूरस्थ रूप से शोषण योग्य। कोई भौतिक या स्थानीय पहुंच आवश्यक नहीं।
- Attack Complexity
- निम्न — कोई विशेष शर्त नहीं। विश्वसनीय रूप से शोषण योग्य।
- Privileges Required
- निम्न — कोई भी वैध उपयोगकर्ता खाता पर्याप्त है।
- User Interaction
- आवश्यक — पीड़ित को फ़ाइल खोलनी, लिंक पर क्लिक करना या पेज पर जाना होगा।
- Scope
- अपरिवर्तित — प्रभाव केवल कमज़ोर घटक तक सीमित।
- Confidentiality
- कोई नहीं — गोपनीयता पर कोई प्रभाव नहीं।
- Integrity
- निम्न — हमलावर सीमित दायरे में कुछ डेटा बदल सकता है।
- Availability
- कोई नहीं — उपलब्धता पर कोई प्रभाव नहीं।
प्रभावित सॉफ्टवेयर
कमजोरी वर्गीकरण (CWE)
समयरेखा
- आरक्षित
- प्रकाशित
- EPSS अद्यतन
शमन और वर्कअराउंडअनुवाद हो रहा है…
The primary mitigation for CVE-2025-2975 is to upgrade KerioConnect to version 10.0.7 or later, which contains the fix. If immediate upgrading is not possible, consider restricting access to the Settings/Email/Signature/EditHtmlSource component through network firewalls or access control lists. While not a complete solution, input validation and output encoding on the server-side can help reduce the attack surface. Monitor KerioConnect logs for suspicious activity, particularly requests targeting the vulnerable component.
कैसे ठीक करेंअनुवाद हो रहा है…
Actualizar KerioConnect a una versión posterior a la 10.0.6 que corrija la vulnerabilidad XSS. Consultar el sitio web del proveedor GFI para obtener la última versión y las instrucciones de actualización. Si no hay una versión disponible, deshabilitar o restringir el acceso a la función 'EditHtmlSource' hasta que se publique una solución.
CVE सुरक्षा न्यूज़लेटर
भेद्यता विश्लेषण और गंभीर अलर्ट सीधे आपके ईमेल में।
अक्सर पूछे जाने वाले सवालअनुवाद हो रहा है…
What is CVE-2025-2975 — XSS in KerioConnect 10.0.6?
CVE-2025-2975 is a cross-site scripting vulnerability in KerioConnect versions 10.0.6, allowing attackers to inject malicious scripts via the email signature editor. It has a LOW severity rating.
Am I affected by CVE-2025-2975 in KerioConnect 10.0.6?
If you are running KerioConnect version 10.0.6, you are potentially affected by this vulnerability. Upgrade to 10.0.7 to resolve the issue.
How do I fix CVE-2025-2975 in KerioConnect 10.0.6?
The recommended fix is to upgrade KerioConnect to version 10.0.7 or later. As a temporary workaround, restrict access to the vulnerable component.
Is CVE-2025-2975 being actively exploited?
While no active campaigns have been confirmed, the vulnerability has been publicly disclosed, increasing the risk of exploitation.
Where can I find the official KerioConnect advisory for CVE-2025-2975?
Refer to the KerioConnect website for the official advisory and release notes for version 10.0.7.
क्या आपका प्रोजेक्ट प्रभावित है?
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।