CVE-2026-93634
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Podatność cross-account authorization w Zimbra Collaboration Suite pozwala uwierzytelnionemu użytkownikowi na wstawienie sfałszowanych rekordów udostępnionych plików do skrzynki innego użytkownika przez FileSharedWithMeRequest. Żądanie omija autoryzację delegowanego konta i akceptuje metadane plików, identyfikatory właściciela i zadeklarowane rozmiary wybrane przez atakującego bez walidacji odpowiedniego udostępnienia dokumentu. Atakujący może umieścić wpisy przypisane do innego rzeczywistego konta lokalnego bez interakcji ofiary.
Ocena ryzyka
Może prowadzić do wprowadzenia w błąd użytkownika i potencjalnego wycieku danych poprzez fałszywe udostępnienia plików.
Rekomendacja
Zaktualizuj ZCS do wersji nowszej niż 10.1.20, która naprawia tę podatność.
Inne podatności w Zimbra Collaboration Suite
Zobacz wszystkie- CVE-2022-37042KrytyczneAktywnie exploitowane
Zimbra Collaboration Suite (ZCS) 8.8.15 i 9.0 ma funkcję mboximport, która przyjmuje archiwum ZIP i wyodrębnia z niego pliki. Omijając uwierzytelnianie (brak authtoken), atakujący może przesłać dowolne pliki do systemu, co prowadzi do przejścia do katalogów i zdalnego wykonania kodu. Uwaga: problem istnieje z powodu niepełnej poprawki dla CVE-2022-27925.
- CVE-2022-27925WysokieAktywnie exploitowane
Zimbra Collaboration (ZCS) 8.8.15 i 9.0 ma funkcję mboximport, która przyjmuje archiwum ZIP i wyodrębnia z niego pliki. Uwierzytelniony użytkownik z uprawnieniami administratora ma możliwość przesyłania dowolnych plików do systemu, co prowadzi do przejścia do katalogów.
- CVE-2022-24682ŚrednieAktywnie exploitowane
Podatność w funkcji Kalendarz w Zimbra Collaboration Suite 8.8.x przed 8.8.15 patch 30 pozwala atakującemu na wstrzyknięcie HTML z wykonywalnym JavaScriptem do atrybutów elementów. Znaczniki nie są poprawnie escapowane, co umożliwia wstrzyknięcie dowolnego kodu do dokumentu.
- CVE-2019-9621WysokieAktywnie exploitowane
Podatność SSRF (Server-Side Request Forgery) w komponencie ProxyServlet w Zimbra Collaboration Suite. Umożliwia atakującemu wysyłanie żądań z serwera do wewnętrznych zasobów.
- CVE-2018-6882ŚrednieAktywnie exploitowane
Podatność cross-site scripting (XSS) w funkcji ZmMailMsgView.getAttachmentLinkHtml w Zimbra Collaboration Suite (ZCS) przed 8.7 Patch 1 i 8.8.x przed 8.8.7. Zdalny atakujący może wstrzyknąć dowolny skrypt lub HTML przez nagłówek Content-Location w załączniku e-mail.
- CVE-2026-93638Średnie
Podatność reflected XSS na stronie logowania Zimbra Collaboration Suite pozwala nieuwierzytelnionemu atakującemu wykonać JavaScript przez parametr zrememberme. Spreparowany URL relogin wybiera wyświetlanie błędu dwuskładnikowego, które wstawia parametr do atrybutu ukrytego pola bez kodowania HTML. Ofiara otwierająca URL otrzymuje skrypt i treść kontrolowaną przez atakującego w ramach legalnego originu Zimbra, co umożliwia przechwycenie danych logowania.
- CVE-2026-93636Średnie
Podatność typu LDAP filter injection w Zimbra Collaboration Suite pozwala uwierzytelnionemu użytkownikowi na odpytywanie normalnie niezwracanych atrybutów zasobów kalendarza przez SearchCalendarResourcesRequest. Zimbra escapuje wartości wyszukiwania, ale wstawia podane nazwy atrybutów bezpośrednio do wyrażeń filtrów LDAP bez walidacji. Atakujący może wstrzyknąć dodatkowe warunki i użyć powtarzanych zapytań, aby odzyskać czytelne atrybuty zasobów, takie jak wewnętrzne nazwy hostów skrzynek i trasy transportu poczty.
- CVE-2026-93633Średnie
Podatność sanitizacji CSS w Zimbra Collaboration Suite pozwala uwierzytelnionemu użytkownikowi z dostępem do Briefcase na opublikowanie dokumentu wyświetlającego treść kontrolowaną przez atakującego w ramach originu Zimbra. Podczas przetwarzania arkusza stylów zawierającego znaki nie-ASCII DefangFilter dołącza końcowy segment ASCII bez jego sanityzacji. HTML przechowywany jako application/x-zimbra-doc może zatem zachować odwołania URL CSS, które normalny sanityzator usuwa. Atakujący może udostępnić spreparowany dokument, który ładuje zewnętrzne zasoby i wyświetla formularz zbierający dane logowania.
- CVE-2026-93630Średnie
Podatność kanonikalizacji nazwy hosta w sanityzatorach HTML poczty Zimbra Collaboration Suite pozwala nieuwierzytelnionemu nadawcy obejść ograniczenie formularzy kierujących do hosta Zimbra. DefangFilter i OWASP ActionAttributePolicy porównują nazwę hosta form-action z nazwą hosta żądania przed kanonikalizacją URL przez przeglądarkę. Zatem nazwa hosta zakodowana procentowo może przetrwać sanityzację, podczas gdy przeglądarka wysyła formularz do normalnego originu Zimbra z ciasteczkiem uwierzytelniającym odbiorcy. Umożliwia to uwierzytelnione żądania formularzy z spreparowanej wiadomości e-mail po jej otwarciu w Classic i wysłaniu formularza.
- CVE-2026-93629Średnie
Podatność uwierzytelniania organizatora w Zimbra Collaboration Suite pozwala nieuwierzytelnionemu nadawcy wiadomości e-mail na wstawienie zaproszeń kalendarzowych przypisanych do innego użytkownika. Ścieżka dostarczania poczty pozwala na zewnętrzne zaproszenia, ale nie weryfikuje, czy nadawca wiadomości jest upoważniony do użycia tożsamości ORGANIZER iCalendar. Gdy automatyczne wstawianie zaproszeń jest włączone, spreparowany komponent REQUEST tworzy wydarzenie zawierające szczegóły spotkania i przypomnienia wybrane przez atakującego pod sfałszowanym organizatorem bez interakcji odbiorcy.
Oryginalny opis (angielski, źródło NVD)
A cross-account authorization vulnerability in Zimbra Collaboration Suite (ZCS) allows an authenticated user to insert forged shared-file records into another user's mailbox through FileSharedWithMeRequest. The request bypasses delegated-account authorization and accepts attacker-selected file metadata, owner identifiers and declared sizes without validating a corresponding document share. An attacker can plant entries attributed to another real local account without that account sharing a document. No victim interaction is required. ZCS 10.1.16 and 10.1.20 are affected.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS