تحث Zimbra العملاء على تطبيق التحديثات لمعالجة ثغرة أمنية حرجة تؤثر على Classic Web Client والتي قد تؤدي إلى تنفيذ تعليمات برمجية عشوائية.
تم وصف الثغرة الأمنية على أنها حالة من البرمجة النصية المخزنة عبر المواقع (XSS) والتي قد تسمح لرسائل البريد الإلكتروني المصممة خصيصًا بتنفيذ البرامج النصية الضارة في جلسة المستخدم. لم يتم تعيين معرف CVE له بعد.
وقال Zimbra: “يعمل التحديث على إصلاح مشكلة أمنية في Classic Web Client حيث يمكن لبريد إلكتروني مُصمم خصيصًا تشغيل تعليمات برمجية ضارة عند فتح البريد الإلكتروني”. “إذا تم استغلالها، فقد تسمح بالوصول إلى معلومات صندوق البريد أو بيانات الجلسة أو إعدادات الحساب.”
تحدث ثغرات XSS عندما يتضمن أحد التطبيقات بيانات غير موثوقة في صفحة ويب دون التحقق من صحتها أو الهروب منها. يسمح هذا للمهاجمين بإدخال JavaScript ضار وتنفيذه في متصفحات الضحايا، مما قد يؤدي إلى اختطاف الجلسة وسرقة بيانات الاعتماد وتسوية الحساب.
XSS المخزن، أو XSS المستمر، هو نوع من عيوب XSS حيث يتم تخزين البرنامج النصي الذي تم إدخاله بشكل دائم على الخوادم المستهدفة في قاعدة بيانات في شكل تعليق يبدو غير ضار أو مشاركة في المنتدى، مما يتسبب في اختراق أي زائر للموقع بمجرد تحميل الصفحة التي تحتوي على JavaScript على متصفح الويب الخاص بهم.
على الرغم من أن Zimbra لم يذكر الثغرة الأمنية التي يتم استغلالها بشكل مباشر، إلا أن عيوب XSS في Zimbra كانت بمثابة نقطة جذب للهجوم لسنوات، حيث تحاول الجهات الفاعلة السيئة استغلال مثل هذه الثغرات الأمنية كسلاح منذ ديسمبر 2021.
في أكتوبر الماضي، زُعم أنه تم استغلال ثغرة XSS مخزنة في Classic Web Client (CVE-2025-27915، نقاط CVSS: 5.4) كنقطة الصفر في الهجمات التي استهدفت الجيش البرازيلي، على الرغم من أن Zimbra أخبرت The Hacker News في ذلك الوقت أنها لم تجد أي دليل يدعم ذلك.
تشمل عيوب XSS الأخرى التي استغلتها جهات التهديد CVE-2023-37580 وCVE-2024-27443. نظرًا لاحتمالية إساءة الاستخدام العالية، يُنصح المستخدمون بالتحديث إلى الإصدار 10.1.19 من Zimbra Collaboration Suite للحصول على الحماية المثلى.
