Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.

[TLP:CLEAR] Zimbra opravuje 2 zranitelnosti

Zimbra ve verzích 10.0.18 a 10.1.13 opravuje 2 zranitelnosti v produktu Zimbra Collaboration [1][2].

Zimbra Collaboration - stored XSS (CVE-2025-66376)
CVSS 7.2 (High)

Neautentizovanému vzdálenému útočníkovi je umožněno v Classic UI prostřednictvím speciálně upravené HTML e-mailové zprávy provést uložený XSS útok [1].

Zranitelnost se nachází v produktu:

  • Zimbra Collaboration; >=10.0, <10.0.18; >=10.1, <10.1.13

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N

Více informací:

  • CVE-2025-66376 na cve.org, NVD
  • CWE-79: Improper Neutralization of Input During Web Page Generation (XSS or 'Cross-site Scripting') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 5. 1. 2026.

Zimbra Collaboration - hardcoded credentials (CVE-2025-67809)
CVSS 4.7 (Medium)

Neautentizovaný vzdálený útočník může zneužít pevně zakódovaný API klíč rozšíření Flickr a vydávat se za toto rozšíření při OAuth autentizaci. Po schválení požadavku uživatelem může dojít ke zpřístupnění jeho údajů [2].

Zranitelnost se nachází v produktu:

  • Zimbra Collaboration (ZCS); >=10.0, <10.1.13

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N

Více informací:

Zranitelnost byla veřejně oznámena 15. 12. 2025.

Za CESNET, z.s.p.o. Henrieta Paločková dne 6. 1. 2026.

CESNET, z.s.p.o. Logo