Kerngegevens
- Leverancier
- Synacor
- Product
- Zimbra Collaboration Suite
- Soort software
- –
- Getroffen versies
- Zimbra Collaboration Suite vanaf 10.0.0 tot 10.0.18, vanaf 10.1.0 tot 10.1.13
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Zimbra Collaboration Suite 10.0.18
- Zimbra Collaboration Suite 10.1.13
- CVE gepubliceerd
- 5 januari 2026
- Op de KEV-lijst sinds
- 18 maart 2026
- Gepubliceerd op LekkenRadar
- 7 oktober 2026
- Laatst gewijzigd bij NVD
- 7 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In de klassieke webinterface (Classic UI) van Zimbra Collaboration zit een cross-site scripting-lek. Een aanvaller kan een e-mail met speciale CSS @import-opdrachten in de HTML sturen, waardoor schadelijke code wordt opgeslagen en uitgevoerd in de browser van de ontvanger. Het lek heeft ernst middel, met een CVSS-score van 6,1.
Wie loopt risico?
Je loopt risico als je Zimbra Collaboration 10.0 vóór 10.0.18 of 10.1 vóór 10.1.13 gebruikt en je mail leest via de Classic UI. De aanval gebeurt via het netwerk en vraagt alleen dat de ontvanger de e-mail opent. Het lek wordt volgens de Amerikaanse CISA actief misbruikt.
Wat moet je doen?
Update Zimbra
Werk Zimbra Collaboration bij naar versie 10.0.18 (voor de 10.0-reeks) of 10.1.13 (voor de 10.1-reeks), of nieuwer.
Controleer je versie
Kijk na welke versie van Zimbra Collaboration je server draait en of die onder de getroffen versies valt.
Lees het advies van de leverancier
Bekijk de releasenotes en het Security Center van Zimbra voor details over de beveiligingsfixes en eventuele aanvullende maatregelen.
Wees voorzichtig met onverwachte e-mail
Zolang je nog niet bijgewerkt hebt, is het verstandig om verdachte of onverwachte HTML-e-mails in de Classic UI niet te openen.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een opgeslagen (stored) cross-site scripting-kwetsbaarheid in de Classic UI van Zimbra Collaboration. De fout zit in de verwerking van CSS @import-directives in de HTML-inhoud van een e-mailbericht. Daardoor kan een aanvaller via een speciaal opgemaakt bericht script laten uitvoeren in de context van de sessie van de ontvanger. De CVSS-vector (AV:N/AC:L/PR:N/UI:R/S:C) wijst op een aanval via het netwerk, zonder inloggegevens, met gebruikersinteractie en een gewijzigd bereik (scope). De impact op vertrouwelijkheid en integriteit is beperkt.
CVSS-vector (versie 3.1, basisscore 6,1, bron: NVD)
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N- Zwakheid (CWE)
- CWE-79 · Onjuiste neutralisatie van invoer tijdens het genereren van webpagina's (cross-site scripting)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 20,2%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 18 maart 2026
- Deadline van CISA
- 1 april 2026
- Gebruikt door ransomwaregroepen
- Niet bekend