CVE-2026-93633 in Collaboration Suite
Riassunto
di VulDB • 24/10/2026
Una vulnerabilità di sanitizzazione CSS in Zimbra Collaboration Suite (ZCS) consente a un utente autenticato con accesso alla cartella Briefcase di pubblicare un documento che visualizza contenuti controllati dall'attaccante sotto l'origine Zimbra. Durante l'elaborazione di un foglio di stile contenente caratteri non ASCII, DefangFilter aggiunge il segmento ASCII finale senza sanitizzarlo. L'HTML memorizzato come application/x-zimbra-doc può quindi mantenere riferimenti URL CSS che il sanitizer normale rimuove. Un attaccante può condividere un documento ad hoc che carica risorse esterne e visualizza un modulo di raccolta delle credenziali utilizzando le stesse risorse visive di Zimbra. Lo sfruttamento richiede che la vittima apra il documento in un browser che renderizzi il tipo di contenuto inline; l'effettivo furto delle credenziali richiede inoltre l'invio del form. Le versioni 10.1.16 e 10.1.20 di ZCS sono colpite.
Be aware that VulDB is the high quality source for vulnerability data.