CVE-2026-93638 Cross-site scripting reflejado en la página de login de Zimbra Collaboration Suite vía zrememberme

Qué es CVE-2026-93638

Una URL de relogin manipulada selecciona una pantalla de error de dos factores que inserta el parámetro zrememberme en un atributo de input oculto sin codificación HTML. Un atacante no autenticado puede ejecutar JavaScript bajo el origen legítimo de Zimbra y capturar credenciales mediante un formulario de login falso. Afecta a ZCS 10.1.16 y 10.1.17.

Productos y versiones afectadas

• Zimbra Zimbra Collaboration Suite

  • hasta 10.1.17

Qué hacer

1. Verificá si usás Zimbra Collaboration Suite y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 6.1 MEDIA

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Requerida

ALCANCE (S)

Cambiado

CONFIDENCIALIDAD (C)

Baja

INTEGRIDAD (I)

Baja

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

A reflected cross-site scripting vulnerability in the login page of Zimbra Collaboration Suite (ZCS) allows an unauthenticated attacker to execute JavaScript through the zrememberme parameter. A crafted relogin URL selects a two-factor error display that inserts the parameter into a hidden input attribute without HTML encoding. A victim who opens the URL receives attacker-controlled script and page content under the legitimate Zimbra origin, allowing credential capture through a replacement login form. The relogin path logs out an existing session before rendering the payload, so the demonstrated attack does not inherit that session's mailbox access. ZCS 10.1.16 and 10.1.17 are affected.

Referencias

• wiki.zimbra.com/wiki/Zimbra_Security_AdvisoriesVENDOR-ADVISORY
• www.rapid7.com/blog/post/ve-breaking-zimbra-identity-boundaries-part-1/RELATED

Historial de la alerta

1. 23 OCT · 11:56VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.