Platform
wordpress
Component
transmail
Opgelost in
3.3.2
CVE-2025-49028 beschrijft een Cross-Site Request Forgery (CSRF) en Stored XSS kwetsbaarheid in Zoho ZeptoMail. Deze kwetsbaarheid stelt een aanvaller in staat om kwaadaardige scripts uit te voeren in de context van een geauthenticeerde gebruiker, wat kan leiden tot data-exfiltratie en accountovername. De kwetsbaarheid treft versies van Zoho ZeptoMail van 0.0.0 tot en met 3.3.1. Een patch is beschikbaar in versie 3.3.2.
Deze kwetsbaarheid maakt het mogelijk voor een aanvaller om kwaadaardige scripts in te voegen en uit te voeren via Zoho ZeptoMail. Een succesvolle exploit kan leiden tot het stelen van gevoelige informatie, zoals gebruikersgegevens, wachtwoorden en e-mailinhoud. Daarnaast kan de aanvaller de account van een gebruiker overnemen en ongeautoriseerde acties uitvoeren, zoals het verzenden van spam of het wijzigen van instellingen. De impact is verhoogd door de mogelijkheid van Stored XSS, waarbij de kwaadaardige code persistent wordt opgeslagen en herhaaldelijk kan worden uitgevoerd.
Deze kwetsbaarheid is openbaar bekend en de details zijn beschikbaar. Er zijn momenteel geen meldingen van actieve exploitatie in de wild, maar de combinatie van CSRF en Stored XSS maakt het een aantrekkelijk doelwit voor aanvallers. De publicatie datum van 2025-12-31 geeft aan dat de kwetsbaarheid recent is ontdekt en gepubliceerd.
Organizations utilizing Zoho ZeptoMail, particularly those with sensitive email data or critical business processes reliant on the platform, are at risk. Shared hosting environments where multiple users share the same ZeptoMail instance are especially vulnerable, as an attacker compromising one user's account could potentially gain access to others.
• wordpress / composer / npm:
grep -r 'transmail' /var/www/html/zeptomail/plugins/• generic web:
curl -I https://your-zeptomail-domain.com/transmail?script=<script>alert(1)</script>disclosure
Exploit Status
EPSS
0.02% (5% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie is het upgraden van Zoho ZeptoMail naar versie 3.3.2 of hoger, waar de kwetsbaarheid is verholpen. Indien een directe upgrade niet mogelijk is, overweeg dan tijdelijke maatregelen zoals het implementeren van Content Security Policy (CSP) om de uitvoering van inline scripts te beperken. Controleer de Zoho ZeptoMail logs op verdachte activiteiten, zoals ongebruikelijke URL's of POST-verzoeken. Implementeer een Web Application Firewall (WAF) met regels om CSRF-aanvallen te detecteren en te blokkeren.
Update naar versie 3.3.2, of een nieuwere gepatchte versie
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2025-49028 is een Cross-Site Request Forgery (CSRF) en Stored XSS kwetsbaarheid in Zoho ZeptoMail, waardoor een aanvaller kwaadaardige scripts kan uitvoeren.
Ja, als u een versie van Zoho ZeptoMail gebruikt tussen 0.0.0 en 3.3.1, bent u kwetsbaar voor deze kwetsbaarheid.
Upgrade naar Zoho ZeptoMail versie 3.3.2 of hoger om de kwetsbaarheid te verhelpen. Implementeer tijdelijke mitigaties zoals CSP indien een upgrade niet direct mogelijk is.
Er zijn momenteel geen meldingen van actieve exploitatie, maar de combinatie van CSRF en Stored XSS maakt het een aantrekkelijk doelwit.
Raadpleeg de officiële Zoho ZeptoMail website of de Zoho security advisories voor de meest recente informatie en updates.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.