Veille sécuritéFrontend
P3Élevée
Un défaut d’autorisation dans Zimbra permet à un administrateur délégué sans droits administratifs explicites de modifier la configuration globale des Zimlets et d’ajouter un domaine contrôlé à une liste d’autorisation de proxy. Un utilisateur de la classe de service concernée qui ouvre une URL préparée peut alors recevoir du HTML contrôlé par l’attaquant sous l’origine Zimbra, permettant l’exécution de JavaScript ; les données fournies ne précisent pas de version corrigée.
JavaScript
IdentifiantCVE-2026-93639
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-93639
Analyse technique
L’exploitation nécessite un compte d’administrateur délégué et l’accès au service SOAP d’administration ; la compromission du navigateur nécessite aussi que la victime ouvre l’URL préparée.
Impact, versions et correctif
Événement datéLa fiche indique une première publication le 2026-10-23, pendant la période demandée ; l’événement retenu est la divulgation de la vulnérabilité.
ImpactUn utilisateur victime peut subir l’exécution de JavaScript sur l’origine Zimbra, avec lecture de données de boîte aux lettres et actions authentifiées.
Versions affectéesZCS 10.1.16 et 10.1.20
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.7
Publication2026-10-23T14:17:57.640Z
Mise à jour2026-10-23T16:44:17.950Z
Sources
Priorisation DFS : P3 · 1 source(s).