TL;DR
Wystarczy wysłać ofierze maila i poczekać, aż otworzy go w webowym interfejsie Zimbry i kliknie nazwę załącznika. Wtedy JavaScript z nagłówka MIME wykonuje się w jej przeglądarce. To CVE-2026-66911, stored XSS znaleziony przez CERT Polska w ramach własnych badań. Niezależnie zgłosił go też Suraj Disoja z TrustFoundry.
Druga luka, CVE-2026-66912, jest podobna, ale kod ukrywa się w nagłówku `From` i uruchamia się przy tworzeniu odpowiedzi w HTML. Podatne są wszystkie wersje Zimbra Collaboration poniżej 10.1.21, a producent poprawki już wydał. Jeśli utrzymujesz własny serwer pocztowy, sprawdź wersję i zaktualizuj.
W ramach własnych badań CERT Polska odkrył 2 podatności XSS (CVE-2026-66911 i CVE-2026-66912) w oprogramowaniu Zimbra Collaboration.
Czytaj cały wpis u źródła// tagi
