Zimbra Collaboration Suite: Reflected XSS im Dokumenteditor des Classic Web Client
Zusammenfassung
Eine Reflected Cross-Site-Scripting-Schwachstelle im Classic Web Client von Zimbra Collaboration Suite erlaubt die Einschleusung von JavaScript über den Parameter packages des Dokumenteditors unter /h/rest. In Kombination mit CVE-2026-50053 kann ein Angreifer mit einem regulären Zimbra-Konto eine URL erstellen, die JavaScript im Browser einer anderen angemeldeten Benutzerin oder eines anderen angemeldeten Benutzers ausführt, sobald das Opfer die URL öffnet. Dadurch können Postfachdaten offengelegt und Aktionen im Namen des Opfers ausgeführt werden. Der Angriff erfordert eine Benutzerinteraktion.
Betroffen
- Zimbra Collaboration Suite (ZCS) 10.1.16, wie vom Forscher getestet
- CNA-Bereich: alle Versionen unter 10.1.17 (ältere Versionen vermutlich betroffen, nicht verifiziert)
Behoben in
- ZCS 10.1.17
Umgehung
- Kein vom Hersteller veröffentlichter Workaround bekannt.
- Den Zugriff auf den Classic Web Client nach Möglichkeit auf vertrauenswürdige Netzwerke beschränken.
Ausnutzung
- Ausnutzung in freier Wildbahn: keine Hinweise gefunden.
- Öffentlicher Proof of Concept: keiner gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Prüfen, ob ZCS-Instanzen eine Version unter 10.1.17 verwenden, und das Update priorisieren, insbesondere bei aus dem Internet erreichbaren Servern oder Servern mit vielen Benutzenden.
- Sich bei CVE-2026-50053 nicht allein auf 10.1.17 verlassen: Der Fix-Status ist unklar. Die Herstellerhinweise prüfen und alle späteren Updates einspielen.
- Benutzende warnen, unerwartete Links zu öffnen, während sie bei Zimbra angemeldet sind, und auf ungewöhnliche Postfachaktivitäten achten.
- Die genauen betroffenen Versionen im Sicherheitshinweis von Zimbra bestätigen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Zimbra Security Advisories wiki.zimbra.com
- Zimbra Security Center wiki.zimbra.com
- Rapid7: Breaking Zimbra's Identity Boundaries (Part 1) www.rapid7.com
- Strix: CVE-2026-10632 www.strix.ai
- Strix: CVE-2026-50053 www.strix.ai
- NVD via Vulners: CVE-2026-10632 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:30.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.