Veille sécuritéFrontend
P4Moyenne
La page de connexion de Zimbra Collaboration Suite présente une XSS réfléchie via le paramètre zrememberme, injecté dans un attribut HTML sans encodage. Une URL spécialement construite peut afficher du contenu JavaScript sous l’origine Zimbra et servir à capturer des identifiants ; la fiche indique que ZCS 10.1.16 et 10.1.17 sont affectées, sans version corrective précisée dans les données fournies.
JavaScript
IdentifiantCVE-2026-93638
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-93638
Analyse technique
Le chemin relogin déconnecte la session existante avant de rendre la page ; l’attaque décrite n’hérite donc pas de l’accès à la boîte aux lettres de cette session.
Impact, versions et correctif
Événement datéLa fiche indique une première publication le 2026-10-23, pendant la période demandée ; l’événement retenu est la divulgation de la vulnérabilité.
ImpactInjection de contenu et de JavaScript sous l’origine Zimbra, avec risque de capture des identifiants ; la session préexistante est déconnectée dans le chemin décrit.
Versions affectéesZCS 10.1.16 et 10.1.17
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.1
Publication2026-10-23T14:17:57.517Z
Mise à jour2026-10-23T16:44:17.950Z
Sources
Priorisation DFS : P4 · 1 source(s).