Zimbra Collaboration Suite: Überschreiben von Request-Attributen im RestFilter des Classic Web Clients
Zusammenfassung
Ein Überschreiben von Request-Attributen im Classic Web Client (/h/*) von Zimbra Collaboration Suite erlaubt es, über manipulierte URL-Parameter interne Dispatch-Attribute zu setzen, darunter ein Authentifizierungs-Token, das Zielkonto und das Zielelement. In Kombination mit CVE-2026-10632 auf ZCS 10.1.16 kann ein Angreifer eigene gültige Token und Dokumentkennungen verwenden und JavaScript in der Browsersitzung eines anderen angemeldeten Benutzers ausführen. Das Opfer muss einen manipulierten Link öffnen. ZCS 10.1.17 blockiert die XSS-Kette, behält das Überschreiben aber bei.
Betroffen
- Zimbra Collaboration Suite bis und mit 10.1.17 (vom CNA angegebener Bereich; ein Aggregator listet alle Versionen)
- Die Kette benötigt für die XSS-Wirkung CVE-2026-10632 auf ZCS 10.1.16
Behoben in
Unbekannt. ZCS 10.1.17 behebt das Überschreiben von Request-Attributen nicht. Es wurde kein Herstellerfix gefunden, der CVE-2026-50053 nennt.
Umgehung
- Vom Hersteller veröffentlichte Workaround wurden nicht gefunden.
- Nicht verifizierte Option: Externen Zugriff auf /h/-Pfade am Reverse Proxy oder an der Firewall einschränken, sofern Benutzer auf den modernen Client wechseln können. Zuerst testen und mit Zimbra abklären.
Ausnutzung
- Keine Ausnutzung in freier Wildbahn bekannt; Rapid7 führt die Schwachstelle als nicht ausgenutzt.
- Kein öffentlicher Proof of Concept in den durchgeführten Recherchen gefunden.
- CISA SSVC: Automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Installierte Version jetzt mit zmcontrol -v prüfen.
- Auf die neueste unterstützte ZCS-Version aktualisieren, mindestens die Fixes aus 10.1.17 einspielen.
- Die Sicherheitsmitteilungen von Zimbra überwachen, bis ein Fix für CVE-2026-50053 vorliegt, und vom Hersteller eine schriftliche Bestätigung der behebenden Version verlangen.
- Die Einschränkung der /h/-Pfade am Proxy bis zum Fix in Betracht ziehen.
- Logs auf ungewöhnliche /h/-Anfragen mit Token- oder Item-Parametern prüfen.
- Benutzer anweisen, bei angemeldetem Zimbra keine unerwarteten Links zu öffnen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Zimbra Security Advisories wiki.zimbra.com
- Rapid7: From One Account to Every Mailbox: Breaking Zimbra's Identity Boundaries (Part 1) www.rapid7.com
- NVD: CVE-2026-50053 (via Vulners) vulners.com
- Strix: CVE-2026-50053 www.strix.ai
- Strix: CVE-2026-10632 www.strix.ai
- Zimbra Security Center wiki.zimbra.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:27.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.