CVE-2026-50053: Request Attribute Override in Zimbra

CVE-2026-50053 descrive una vulnerabilità di override degli attributi di richiesta in Zimbra Collaboration Suite (ZCS). La falla consente a richieste non autenticate verso endpoint /h/* di popolare attributi servlet che dovrebbero essere utilizzati soltanto per dispatch interni fidati. Il RestFilter di ZCS copia parametri URL specificanti un token di autenticazione, account target, documento target e stato di dispatch direttamente negli attributi di richiesta consumati da Classic Web Client.

Il CVSS è pari a 8,7 (high). La vulnerabilità acquista portata quando combinata con CVE-2026-10632 su ZCS 10.1.16: consente a un attaccante di fornire un token valido e identificatori di documento, eseguendo JavaScript nella sessione autenticata di un altro utente. ZCS 10.1.17 mitiga la catena XSS modificando il renderer del documento, ma mantiene l'override degli attributi di richiesta. Dal 2026-10-29 sono disponibili detector pubblici su repository GitHub che segnalano l'esposizione della versione.

Gli amministratori di ZCS devono verificare la versione in uso. Per ZCS 10.1.16, l'aggiornamento a ZCS 10.1.17 è la correzione indicata. Poiché in versione 10.1.17 il problema non è completamente risolto, è consigliato controllare regolarmente gli advisory di Zimbra per patch successive e valutare l'applicazione di mitigazioni aggiuntive consigliate dal vendor.