Vulnerabilità · 77 giorni fa
Aprire una mail nel Classic Web Client può far eseguire script nel browser dentro la sessione autenticata. Il problema non resta nel contenuto del messaggio: può esporre mailbox, dati di sessione e impostazioni dell'account.
Zimbra ha corretto CVE-2025-27915 in Zimbra Collaboration Suite 10.1.19. La falla riguarda il Classic Web Client e, al momento, non c’è segnale di sfruttamento attivo.
Sfruttamento noto · CISA KEV
CVSS 7.2 HIGH: zimbra Collaboration (ZCS) 10 before 10.0.18 and 10.1 before 10.1.13 allows Classic UI stored XSS via Cascading Style… EPSS 12% (96º percentile).
Data di correzione federale CISA 1 apr · data superata
Sfruttamento noto · CISA KEV
CVSS 6.1 MEDIUM: an issue was discovered in Zimbra Collaboration (ZCS) 8.8.15 and 9.0 and 10.0 and 10.1. EPSS 2% (75º percentile).
Data di correzione federale CISA 23 apr · data superata
3 fonti che coprono questa storia
Zimbra Patches Critical Code Execution Vulnerability
The flaw results in malicious code embedded in crafted emails being executed when the emails are opened.
Critical Zimbra Flaw Could Let Crafted Emails Run Malicious Code in User Sessions
Zimbra fixes a critical stored XSS flaw in its Classic Web Client that could let crafted emails run malicious scripts when opened.
Zimbra urges customers to patch critical web client XSS flaw
The Zimbra security team urged customers to patch a critical vulnerability affecting the Classic Web Client used to access the Zimbra Collaboration suite.
Part of the PlainSec briefing for 2026-07-12