Veille sécuritéFrontend
P4Moyenne
Zimbra ne neutralise pas correctement l’en-tête MIME `Content-Location` d’une pièce jointe, ce qui peut permettre une XSS stockée via une URI `javascript:`. Un attaquant distant non authentifié peut envoyer un courriel piégé ; mettre à jour vers Zimbra 10.1.21 ou ultérieur.
JavaScript
IdentifiantCVE-2026-66911
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif10.1.21
Source : NVD — CVE-2026-66911
Analyse technique
Le code s’exécute dans le navigateur de la victime lorsqu’elle ouvre le courriel dans l’interface Web Zimbra et clique sur le nom de la pièce jointe.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-29 à 16:18:15.390Z, dans la période demandée.
ImpactL’ouverture de la pièce jointe dans l’interface Web peut déclencher l’exécution de JavaScript dans le navigateur de la victime.
Version corrigée10.1.21
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
Publication2026-10-29T16:18:15.390Z
Mise à jour2026-10-29T16:29:56.553Z
Action recommandée
Mettre à jour Zimbra vers la version 10.1.21 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).