CVE-2026-93633 in Collaboration Suite
Résumé
par VulDB • 23/10/2026
Une vulnérabilité de sanitisation CSS dans Zimbra Collaboration Suite (ZCS) permet à un utilisateur authentifié disposant d’un accès au Briefcase de publier un document affichant du contenu contrôlé par l’attaquant sous le domaine Zimbra. Lors du traitement d’une feuille de style contenant des caractères non ASCII, DefangFilter ajoute le segment ASCII final sans le sanitiser. Le HTML stocké en tant que application/x-zimbra-doc peut donc conserver des références URL CSS qui sont normalement supprimées par le sanitizeur standard. Un attaquant peut partager un document crafted chargé de charger des ressources externes et d’afficher un formulaire de collecte d’identifiants à l’aide des propres éléments visuels de Zimbra. L’exploitation nécessite que la victime ouvre le document dans un navigateur qui rend ce type de contenu en ligne ; le vol d’identifiants exige en outre une soumission du formulaire. Les versions 10.1.16 et 10.1.20 de ZCS sont concernées.
Be aware that VulDB is the high quality source for vulnerability data.