Veille sécuritéFrontend
P4Moyenne
Zimbra Classic UI présente une XSS persistante via l’en-tête From d’un courriel lors de la rédaction d’une réponse HTML, lorsque les en-têtes de réponse sont désactivés. Un attaquant distant peut ainsi exécuter du JavaScript dans le navigateur d’une victime qui ouvre le message et répond dans ces conditions.
JavaScript
IdentifiantCVE-2026-66912
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif10.1.21
Source : NVD — CVE-2026-66912
Analyse technique
La cause indiquée est une validation insuffisante de la valeur de l’en-tête From, rendue comme HTML dans le formulaire de réponse.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-29; cette date tombe dans la période demandée. Le correctif est indiqué dans la version 10.1.21.
ImpactExécution de JavaScript dans le navigateur de la victime; le résumé source mentionne un risque de vol de session ou d’actions effectuées au nom de celle-ci.
Version corrigée10.1.21
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
Publication2026-10-29T16:18:15.530Z
Mise à jour2026-10-29T16:29:56.553Z
Action recommandée
Mettre à niveau vers Zimbra 10.1.21 ou une version ultérieure corrigée.
Sources
Priorisation DFS : P4 · 1 source(s).