CVE-2025-49028: XSS in Zoho ZeptoMail

このXSS脆弱性は、攻撃者がユーザーのブラウザ上で任意のJavaScriptコードを実行することを可能にします。これにより、攻撃者はユーザーのセッション情報を盗み取ったり、ユーザーを悪意のあるウェブサイトにリダイレクトしたり、Zoho ZeptoMailのインターフェースを改ざんしたりする可能性があります。特に、管理者権限を持つユーザーが攻撃を受けると、システム全体への影響が及ぶ可能性があります。この脆弱性は、ユーザーの機密情報漏洩や、Zoho ZeptoMailシステムの不正利用につながる重大なリスクをもたらします。

Organizations utilizing Zoho ZeptoMail, particularly those with sensitive email data or critical business processes reliant on the platform, are at risk. Shared hosting environments where multiple users share the same ZeptoMail instance are especially vulnerable, as an attacker compromising one user's account could potentially gain access to others.

• wordpress / composer / npm:

grep -r 'transmail' /var/www/html/zeptomail/plugins/

• generic web:

curl -I https://your-zeptomail-domain.com/transmail?script=<script>alert(1)</script>

1. 2025-12-31Disclosure

   disclosure

1. 予約済み2025-05-30
2. 公開日2025-12-31
3. 更新日2026-04-28
4. EPSS 更新日2026-03-23

この脆弱性への最も効果的な対策は、Zoho ZeptoMailをバージョン3.3.2以降にアップデートすることです。アップデートが困難な場合は、WAF（Web Application Firewall）を導入し、XSS攻撃を検知・防御するルールを設定することを推奨します。また、入力値の検証を強化し、ユーザーからの入力データが適切にサニタイズされるように設定することも有効です。Zoho ZeptoMailのセキュリティ設定を見直し、不要な機能やアクセス権限を制限することも重要です。