CVE-2026-50053: Zimbra Collaboration Suite, Classic Web Client

Worum es geht

Für CVE-2026-50053 nennt der Datensatz keine reparierte Version. Es gibt also kein Update, das die Ursache nachweislich beseitigt. Die Lücke steckt in der Zimbra Collaboration Suite (ZCS), einer Mail- und Groupware-Lösung. Betroffen ist der Classic Web Client, die klassische Weboberfläche für Postfach und Dokumente.

ZCS 10.1.17 verändert die Lage nur teilweise. Laut Beschreibung blockiert diese Version die Angriffskette zum Einschleusen von Code, weil sie die Darstellung von Dokumenten ändert. Die eigentliche Schwäche, das Überschreiben von Anfrageattributen, bleibt aber bestehen.

So prüfen Sie, ob Sie betroffen sind

Klären Sie zuerst, ob Zimbra bei Ihnen überhaupt läuft. Fragen Sie dazu Ihre IT oder Ihren Hoster, ob E-Mail und Kalender über Zimbra laufen. Typisch ist eine Webadresse, unter der Mitarbeitende sich mit einer Zimbra-Anmeldemaske einloggen.

Die Versionsnummer lesen Sie auf dem Server mit dem Befehl zmcontrol -v aus. Die Ausgabe zeigt die installierte Release. Steht dort 10.1.16, ist die in der Beschreibung genannte Angriffskette möglich. Bei 10.1.17 ist diese Kette laut Beschreibung blockiert, die Schwäche im Kern bleibt. Für andere Versionen liefert der Datensatz keine Aussage, hier hilft nur Rückfrage beim Hersteller.

Prüfen Sie außerdem, ob der Classic Web Client erreichbar ist. Die betroffenen Anfragen laufen über Adressen, die mit /h/ beginnen.

Wo Zimbra im Mittelstand läuft

Zimbra nutzen eher Betriebe, die ihre Mail nicht bei einem großen Cloud-Anbieter halten wollen. Häufig läuft es auf einem eigenen Server im Rechenzentrum oder bei einem regionalen Hoster. Oft betreut es ein externer Dienstleister, und die Inhaber kennen die Versionsnummer nicht. Deshalb lohnt die Frage nach dem Stand. ByePast schätzt, dass nur ein kleiner Teil der Betriebe mit 10 bis 250 Mitarbeitenden Zimbra einsetzt.

Wie die Schwachstelle funktioniert

Der Classic Web Client nimmt Anfragen an /h/* entgegen. Ein Filter namens RestFilter übernimmt dabei Werte aus der Webadresse und legt sie als interne Anfrageattribute ab. Es geht um ein Authentifizierungstoken (eine Art Eintrittskarte), ein Zielkonto, ein Zielobjekt und einen Weiterleitungszustand. Diese Attribute sind eigentlich nur für interne Abläufe gedacht. Weil der Filter sie auch bei Anfragen ohne Anmeldung setzt, kann ein Angreifer sie selbst vorgeben (CWE-642, Veränderung von Werten, die extern nicht steuerbar sein sollten).

Allein reicht das nicht. Zusammen mit CVE-2026-10632 auf ZCS 10.1.16 kann der Angreifer ein eigenes gültiges Token und Dokumentkennungen mitschicken. So führt er JavaScript in der angemeldeten Browsersitzung eines anderen Nutzers aus. Dieser Nutzer muss dafür mitwirken. Das lässt sich aus dem Vektor ablesen (UI:R).

Einordnung der Kennzahlen

Der Datensatz nennt einen Wert von 8,7 nach CVSS 3.1, Schweregrad hoch. Der Angriff läuft über das Netzwerk, ist technisch einfach und braucht ein einfaches Benutzerkonto. Er greift über die Grenzen der eigenen Sitzung hinaus (Scope Changed) und kann Vertraulichkeit und Integrität stark beeinträchtigen. Die Verfügbarkeit bleibt unberührt.

Ein EPSS-Wert liegt nicht vor. Die CISA führt diese CVE nicht in ihrem Katalog der aktiv ausgenutzten Schwachstellen. Eine Ausnutzung ist also nicht belegt. Technische Hintergründe beschreibt der verlinkte Beitrag von Rapid7. Wenn Sie bei der Inventur oder beim Update Unterstützung wünschen, kann ByePast helfen.