CVE-2026-93639
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
W Zimbra Collaboration Suite (ZCS) występuje brak autoryzacji: delegowany administrator bez jawnych uprawnień może nadpisać globalną konfigurację Zimlet przez ConfigureZimletRequest. Może też dodać domenę atakującego do listy dozwolonych proxy domyślnej klasy usług; gdy zalogowany użytkownik otworzy spreparowany URL /service/proxy, Zimbra serwuje HTML atakującego w swojej domenie, umożliwiając odczyt danych skrzynki i akcje w imieniu ofiary.
Ocena ryzyka
Delegowany administrator może doprowadzić do przejęcia sesji użytkownika i kradzieży danych skrzynki oraz wykonania działań w jego imieniu, co narusza poufność i integralność.
Rekomendacja
Zaktualizuj ZCS do wersji naprawionej. Ogranicz uprawnienia delegowanych administratorów i weryfikuj konfigurację Zimlet oraz listy dozwolonych proxy.
Inne podatności w Zimbra Collaboration Suite (ZCS)
Zobacz wszystkie- CVE-2017-6821Krytyczne
Podatność na przejście do katalogu w Zimbra Collaboration Suite (ZCS) przed wersją 8.7.6 umożliwia atakującym uzyskanie nieokreślonego wpływu poprzez nieznane wektory.
- CVE-2017-6813Krytyczne
Usługa oferowana przez Zimbra Collaboration Suite (ZCS) przed wersją 8.7.6 nie wymaga odpowiednich uprawnień przed wykonaniem niektórych żądanych operacji.
- CVE-2016-9924Krytyczne
Zimbra Collaboration Suite (ZCS) przed wersją 8.7.4 umożliwia zdalnym atakującym przeprowadzanie ataków typu XML External Entity (XXE).
Oryginalny opis (angielski, źródło NVD)
A missing authorization vulnerability in Zimbra Collaboration Suite (ZCS) allows a delegated administrator with no explicit administrative grants to overwrite global Zimlet configuration through ConfigureZimletRequest. The uploaded configuration can also add an attacker-controlled domain to the proxy allowlist of the default class of service. If a signed-in user in that class opens a crafted /service/proxy URL, Zimbra serves attacker-controlled HTML under its own origin. The resulting JavaScript can read mailbox data and perform authenticated actions as the victim. Exploitation requires a delegated-administrator account and access to the admin SOAP service; the browser compromise additionally requires the victim to open the crafted URL. ZCS 10.1.16 and 10.1.20 are affected.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS