Zimbra waarschuwt klanten voor een kritiek cross-site scripting (XSS)-lek in de klassieke webmailsoftware, waardoor een aanvaller via een e-mail malafide code kan uitvoeren. De softwareontwikkelaar roept op om de beschikbare beveiligingsupdate zo snel mogelijk te installeren. XSS-lekken in Zimbra zijn vaker in het verleden misbruikt bij aanvallen.

Zimbra is een collaborative software suite die onder andere mailserversoftware en een webmailclient bevat. De software zou door meer dan 200.000 organisaties wereldwijd worden gebruikt. Cross-site scripting is een beveiligingsprobleem dat al decennia bekend is en ervoor zorgt dat aanvallers malafide code op een kwetsbare website of webapplicatie kunnen 'injecteren' die vervolgens in de browser van gebruikers wordt uitgevoerd. Zo is het bijvoorbeeld mogelijk om cookies te stelen en toegang tot een account te krijgen.

De kritieke kwetsbaarheid in de Classic Web Client zorgt ervoor dat een aanvaller via een speciaal geprepareerde e-mail code in de context van de gebruiker kan uitvoeren. Zo kan de aanvaller toegang krijgen tot de mailbox, session data en accountinstellingen. Alle klanten worden opgeroepen om zo snel mogelijk te updaten naar Zimbra 10.1.19.