CVE-2026-93638

Nome do Software Vulnerável e Versões Afetadas Zimbra Collaboration Suite versões 10.1.16 through 10.1.17

Description Um problema de cross-site scripting refletido na página de login permite que um invasor não autenticado execute JavaScript. Isso ocorre quando uma URL de relogin manipulada aciona uma exibição de erro de dois fatores que insere o parâmetro zrememberme em um atributo de entrada oculto sem a devida codificação HTML. Uma vítima que abrir a URL receberá scripts e conteúdo de página controlados pelo invasor sob a origem legítima, o que pode ser usado para capturar credenciais por meio de um formulário de login substituto. O caminho de relogin encerra qualquer sessão existente antes que a carga útil seja renderizada, portanto, o ataque não herda o acesso à caixa de correio da sessão.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Evite usar o parâmetro zrememberme na página de login até que o problema seja resolvido.