Mit Zimbra 10.1.20 hat der Hersteller ein größeres Sicherheitsupdate veröffentlicht, das neun Schwachstellen adressiert. Die schwerwiegendste davon ist nach Angaben des Unternehmens eine Command-Injection-Lücke in der SNMP-Monitoring-Komponente, sofern SNMP-Benachrichtigungen aktiviert sind.
Darüber hinaus enthält das Update Korrekturen für vier Cross-Site-Scripting-Schwachstellen im Classic Web Client. Der Quelltext nennt keine weiteren technischen Einzelheiten zu diesen Fehlern. Zimbra verwies stattdessen darauf, dass man „im Einklang mit bewährten Praktiken der Branche“ nur begrenzte Informationen zu Sicherheitskorrekturen veröffentliche.
Separat behoben wurde zudem eine Umgehung von Beschränkungen bei der Mailweiterleitung. Die unter CVE-2026-50055 geführte Schwachstelle konnte es authentifizierten Nutzern ermöglichen, E-Mails trotz aktivierter Weiterleitungsbeschränkungen abfließen zu lassen. Für die Entdeckung und Meldung der Lücke nennt Zimbra den Rapid7-Sicherheitsforscher Jonah Burgess.
Die Veröffentlichung folgt nur etwas mehr als eine Woche auf einen weiteren sicherheitsrelevanten Patch von Zimbra. Damals hatte das Unternehmen eine kritische Stored-XSS-Schwachstelle im Classic Web Client geschlossen, die zu der Ausführung beliebigen Codes führen konnte.
Nach Angaben im Quelltext wurden keine der jetzt behobenen Schwachstellen bislang als aktiv ausgenutzt eingestuft. Zugleich verweist der Bericht darauf, dass XSS-Fehler in der E-Mail-Software in der Vergangenheit wiederholt von Angreifern ausgenutzt wurden.