Este cel mai recent dintr-un șir de vulnerabilități XSS care au vizat Zimbra de aproape cinci ani
Facepalm: Populara platformă de colaborare Zimbra a fost actualizată recent pentru a corecta o vulnerabilitate potențial periculoasă în componenta Classic Web Client. În teorie, actorii rău intenționați ar putea abuza de defect pentru a rula malware bazat pe script direct pe mașinile utilizatorilor. Inutil să spun că clienții sunt sfătuiți să instaleze actualizarea cât mai curând posibil.
Proprietarul Zimbra, Synacor, a lansat o nouă versiune a software-ului său de colaborare, iar utilizatorii ar trebui să instaleze actualizarea cât mai curând posibil. Zimbra „Daffodil” 10.1.19 include o remediere pentru o vulnerabilitate stocată de scripting cross-site (XSS) care ar putea fi exploatată pentru a compromite mașinile clienților prin intermediul clientului web clasic al Zimbra.
Infractorii cibernetici ar putea abuza de defect prin trimiterea de mesaje de e-mail special malformate, a spus Zimbra. Un client vulnerabil ar rula codul rău intenționat în momentul în care mesajul este deschis. În timp ce compania evaluează riscul de implementare ca fiind „scăzut”, defectul s-ar putea dovedi totuși periculos pentru datele de sesiune ale utilizatorilor, informațiile cutiei poștale sau setările contului.
Vulnerabilitățile de scripting între site-uri sunt o clasă comună de probleme de securitate abuzate în mod obișnuit de atacatorii plini de resurse. Un defect XSS le permite atacatorilor să injecteze scripturi rău intenționate de la partea clientului în paginile web vizualizate de alți utilizatori. Un bug XSS „stocat” precum cel al lui Zimbra este o variantă deosebit de periculoasă, deoarece scriptul rău intenționat este salvat permanent pe server, mai degrabă decât declanșat din mers.
Ghidul de securitate al Zimbra afirmă că toți clienții care utilizează Classic Web Client ar trebui să actualizeze componenta la cea mai recentă versiune disponibilă. Se oferă sfaturi suplimentare pentru cei care folosesc atenuări SNMP personalizate. Până acum, defectului XSS nu i s-a atribuit un identificator CVE.
În orice caz, actorii rău intenționați încearcă să ținteze Zimbra cu vulnerabilități XSS de aproape cinci ani.
În octombrie 2025, o altă eroare XSS persistentă în Classic Web Client (CVE-2025-27915) ar fi fost exploatată în atacuri zero-day care vizează personalul militar brazilian. Alte atacuri bazate pe XSS au vizat platforma Zimbra în mai 2025 și 2023.
Deși a existat sub diferite forme de mai bine de două decenii, Zimbra și-a schimbat mâinile de mai multe ori de-a lungul anilor. Compania a fost cumpărată de Yahoo! în 2007, vândut către VMware trei ani mai târziu și în cele din urmă achiziționat de compania de servicii cu sediul în Buffalo, Synacor, în 2015. Zimbra oferă instrumente de colaborare, servere de e-mail și clienți web atât în ediții open source, cât și susținute comercial. Cu toate acestea, cele mai recente versiuni open source ale produselor Zimbra nu mai includ versiuni binare oficiale și gratuite.