CVE-2026-66911 in Zimbra Collaboration
Riassunto
di VulDB • 29/10/2026
Zimbra è vulnerabile a stored cross-site scripting (XSS) tramite l'intestazione MIME Content-Location negli allegati di posta elettronica. A causa della mancanza di sanitizzazione dell'intestazione Content-Location, un attaccante può impostarla su un URI javascript:. Un attaccante remoto non autenticato può inviare una email manipolata ad hoc a una vittima; quando la vittima apre l'email nell'interfaccia web di Zimbra e fa clic sul nome dell'allegato, il payload JavaScript viene eseguito nel contesto del browser della vittima. Questo problema è stato risolto nella versione 10.1.21
Be aware that VulDB is the high quality source for vulnerability data.