Con la versión 10.1.20, Zimbra solucionó una vulnerabilidad de inyección de comandos en el componente de monitoreo SNMP. Este error permite que los atacantes ejecuten comandos arbitrarios en el sistema si las notificaciones SNMP están activadas. Además, se corrigieron cuatro vulnerabilidades distintas de XSS en el Cliente Web Clásico, que implican riesgos de ejecución de scripts durante el procesamiento de nombres de archivos adjuntos maliciosos, campos personalizados y adjuntos.
También se reparó una brecha (CVE-2026-50055) que permitía eludir las restricciones de redirección de correo electrónico, facilitando la filtración de mensajes. Esta vulnerabilidad fue descubierta y reportada por el investigador de Rapid7, Jonah Burgess.
Zimbra, siguiendo sus estándares de seguridad, no compartió detalles exhaustivos. Hasta ahora, no hay evidencia de que estas vulnerabilidades hayan sido explotadas activamente, aunque vulnerabilidades similares de XSS han sido comúnmente utilizadas en sistemas de correo electrónico en el pasado.