CVE-2026-10632
Açıklama
Zimbra Collaboration Suite (ZCS) Classic Web Client'taki bir yansıtılmış siteler arası betik çalıştırma (XSS) zafiyeti, bir saldırganın /h/rest belge düzenleyicisinin packages parametresi aracılığıyla JavaScript enjekte etmesine olanak tanır. Düzenleyici, paket isimlerini HTML kodlaması yapmadan betik özniteliklerine eklemektedir. CVE-2026-50053 ile birleştirildiğinde, standart bir Zimbra hesabına sahip bir saldırgan, bir URL içinde kendi kimlik doğrulama belirtecini ve belge tanımlayıcılarını sunabilir ve söz konusu kullanıcı URL'yi açtığında başka bir oturum açmış kullanıcının Zimbra tarayıcı oturumunda JavaScript çalıştırabilir. Bu durum, posta kutusu verilerinin okunmasına ve mağdur adına kimliği doğrulanmış işlemler gerçekleştirilmesine izin verir. Sorun ZCS 10.1.16 sürümünü etkilemektedir ve 10.1.17 sürümünde giderilmiştir.
Nasıl düzeltilir
- Zimbra Zimbra Collaboration Suite10.1.17 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Zimbra Zimbra Collaboration Suite | v < 10.1.17 | 10.1.17 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.