[TLP:CLEAR] Zimbra opravuje 2 zraniteľnosti

Zimbra verziami 10.0.18 a 10.1.13 opravuje 2 zraniteľnosti v produkte Zimbra Collaboration [1][2].

Zimbra Collaboration - stored XSS (CVE-2025-66376)
CVSS 7.2 (High)

Neautentizovanému vzdialenému útočníkovi je umožnené v Classic UI, prostredníctvom špeciálne upravenej HTML e-mailovej správy, vykonať uložený XSS útok [1].

Zraniteľnosť sa nachádza v produkte:

  • Zimbra Collaboration; >=10.0, <10.0.18; >=10.1, <10.1.13

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N

Viac informácií:

  • CVE-2025-66376 na cve.org, NVD
  • CWE-79: Improper Neutralization of Input During Web Page Generation (XSS or 'Cross-site Scripting') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 5. 1. 2026.

Zimbra Collaboration - hardcoded credentials (CVE-2025-67809)
CVSS 4.7 (Medium)

Neautentizovaný vzdialený útočník môže zneužiť pevne zakódovaný API kľúč rozšírenia Flickr a vydávať sa za toto rozšírenie pri OAuth autentizácii. Po schválení požiadavky používateľom môže dôjsť k sprístupneniu jeho údajov [2].

Zraniteľnosť sa nachádza v produkte:

  • Zimbra Collaboration (ZCS); >=10.0, <10.1.13

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 15. 12. 2025.

Za CESNET, z.s.p.o. Henrieta Paločková dňa 6. 1. 2026.

CESNET, z.s.p.o. Logo