Opis podatności

Pracownik CERT Polska w ramach własnych badań odkrył podatności w oprogramowaniu Zimbra Collaboration i uczestniczył w koordynacji ich ujawnienia.

Podatność CVE-2026-66911: Oprogramowanie Zimbra jest podatne na ataki typu Stored Cross-Site Scripting (XSS) w nagłówku MIME Content-Location w załącznikach e-mail. Ze względu na brak sanityzacji nagłówka Content-Location można ustawić jego wartość na URI javascript:. Zdalny, nieuwierzytelniony atakujący może wysłać ofierze spreparowaną wiadomość e-mail; gdy ofiara otworzy wiadomość w interfejsie webowym Zimbra i kliknie nazwę załącznika, payload w postaci kodu JavaScript jest wykonywany w kontekście przeglądarki ofiary.

Podatność CVE-2026-66912: Oprogramowanie Zimbra jest podatne na ataki typu Stored Cross-Site Scripting (XSS) poprzez manipulację nagłówkiem e-mail From podczas tworzenia odpowiedzi w formacie HTML w Classic UI. Ze względu na niewystarczającą sanityzację wartości nagłówka From zdalny atakujący może wysłać spreparowaną wiadomość e-mail zawierającą złośliwy nagłówek From z osadzonym ładunkiem JavaScript. Gdy ofiara otworzy wiadomość w Classic UI i kliknie Reply podczas tworzenia odpowiedzi w trybie HTML z wyłączonymi nagłówkami odpowiedzi, niesanityzowana zawartość nagłówka From jest renderowana jako HTML, a kod JavaScript zostaje wykonany w przeglądarce ofiary, co potencjalnie umożliwia atakującemu kradzież informacji o sesji lub wykonywanie działań w imieniu ofiary.

Problemy te zostały naprawione w wersji 10.1.21.

Podziękowania

Suraj Disoja (TrustFoundry) niezależnie zidentyfikował podatność CVE-2026-66911 i zgłosił ją do producenta, za co dziękujemy.