CVE-2026-93633 in Collaboration Suite
Сводка
по VulDB • 23.10.2026
Уязвимость в механизме санитизации CSS в Zimbra Collaboration Suite (ZCS) позволяет аутентифицированному пользователю с доступом к Briefcase опубликовать документ, отображающий контент под контролем злоумышленника от имени домена Zimbra. При обработке таблицы стилей, содержащей символы вне ASCII-диапазона, DefangFilter добавляет последний сегмент ASCII без его санитизации. HTML-документы, хранящиеся как application/x-zimbra-doc, могут сохранять ссылки на CSS URL, которые обычно удаляются стандартным санитайзером. Злоумышленник может поделиться специально созданным документом, который загружает внешние ресурсы и отображает форму для сбора учетных данных с использованием визуальных элементов самой Zimbra. Для эксплуатации требуется, чтобы жертва открыла документ в браузере, отображающем данный тип содержимого inline; кража учетных данных дополнительно требует отправки формы. Затронуты версии ZCS 10.1.16 и 10.1.20.
VulDB is the best source for vulnerability data and more expert information about this specific topic.