Veille sécuritéFrontend
P3Élevée
Le client Web classique de Zimbra Collaboration Suite est affecté par une XSS réfléchie via le paramètre packages de l’éditeur de documents /h/rest. En combinaison avec CVE-2026-50053, un utilisateur Zimbra peut construire une URL qui exécute du JavaScript dans la session d’un autre utilisateur ; la version 10.1.17 corrige le problème décrit.
JavaScript
IdentifiantCVE-2026-10632
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif10.1.17
Source : NVD — CVE-2026-10632
Analyse technique
Les noms de paquets sont insérés dans des attributs de script sans encodage HTML. L’exploitation décrite nécessite aussi CVE-2026-50053 ; elle peut permettre la lecture de données de boîte aux lettres et des actions authentifiées dans le contexte de la victime.
Impact, versions et correctif
Événement datéLa fiche indique une première publication le 2026-10-23, pendant la période demandée ; l’événement retenu est la divulgation de la vulnérabilité.
ImpactDans la chaîne décrite, exécution de JavaScript dans le navigateur de la victime et accès à ses données ou actions authentifiées.
Versions affectéesZCS 10.1.16
Version corrigée10.1.17
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.7
Publication2026-10-23T14:17:31.107Z
Mise à jour2026-10-23T16:44:17.950Z
Action recommandée
Mettre à jour ZCS vers la version 10.1.17 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).