Podatności Zimbra Collaboration Suite

Podatność reflected XSS na stronie logowania Zimbra Collaboration Suite pozwala nieuwierzytelnionemu atakującemu wykonać JavaScript przez parametr zrememberme. Spreparowany URL relogin wybiera wyświetlanie błędu dwuskładnikowego, które wstawia parametr do atrybutu ukrytego pola bez kodowania HTML. Ofiara otwierająca URL otrzymuje skrypt i treść kontrolowaną przez atakującego w ramach legalnego originu Zimbra, co umożliwia przechwycenie danych logowania.

Podatność typu LDAP filter injection w Zimbra Collaboration Suite pozwala uwierzytelnionemu użytkownikowi na odpytywanie normalnie niezwracanych atrybutów zasobów kalendarza przez SearchCalendarResourcesRequest. Zimbra escapuje wartości wyszukiwania, ale wstawia podane nazwy atrybutów bezpośrednio do wyrażeń filtrów LDAP bez walidacji. Atakujący może wstrzyknąć dodatkowe warunki i użyć powtarzanych zapytań, aby odzyskać czytelne atrybuty zasobów, takie jak wewnętrzne nazwy hostów skrzynek i trasy transportu poczty.

Podatność cross-account authorization w Zimbra Collaboration Suite pozwala uwierzytelnionemu użytkownikowi na wstawienie sfałszowanych rekordów udostępnionych plików do skrzynki innego użytkownika przez FileSharedWithMeRequest. Żądanie omija autoryzację delegowanego konta i akceptuje metadane plików, identyfikatory właściciela i zadeklarowane rozmiary wybrane przez atakującego bez walidacji odpowiedniego udostępnienia dokumentu. Atakujący może umieścić wpisy przypisane do innego rzeczywistego konta lokalnego bez interakcji ofiary.

Podatność sanitizacji CSS w Zimbra Collaboration Suite pozwala uwierzytelnionemu użytkownikowi z dostępem do Briefcase na opublikowanie dokumentu wyświetlającego treść kontrolowaną przez atakującego w ramach originu Zimbra. Podczas przetwarzania arkusza stylów zawierającego znaki nie-ASCII DefangFilter dołącza końcowy segment ASCII bez jego sanityzacji. HTML przechowywany jako application/x-zimbra-doc może zatem zachować odwołania URL CSS, które normalny sanityzator usuwa. Atakujący może udostępnić spreparowany dokument, który ładuje zewnętrzne zasoby i wyświetla formularz zbierający dane logowania.

Podatność kanonikalizacji nazwy hosta w sanityzatorach HTML poczty Zimbra Collaboration Suite pozwala nieuwierzytelnionemu nadawcy obejść ograniczenie formularzy kierujących do hosta Zimbra. DefangFilter i OWASP ActionAttributePolicy porównują nazwę hosta form-action z nazwą hosta żądania przed kanonikalizacją URL przez przeglądarkę. Zatem nazwa hosta zakodowana procentowo może przetrwać sanityzację, podczas gdy przeglądarka wysyła formularz do normalnego originu Zimbra z ciasteczkiem uwierzytelniającym odbiorcy. Umożliwia to uwierzytelnione żądania formularzy z spreparowanej wiadomości e-mail po jej otwarciu w Classic i wysłaniu formularza.

Podatność uwierzytelniania organizatora w Zimbra Collaboration Suite pozwala nieuwierzytelnionemu nadawcy wiadomości e-mail na wstawienie zaproszeń kalendarzowych przypisanych do innego użytkownika. Ścieżka dostarczania poczty pozwala na zewnętrzne zaproszenia, ale nie weryfikuje, czy nadawca wiadomości jest upoważniony do użycia tożsamości ORGANIZER iCalendar. Gdy automatyczne wstawianie zaproszeń jest włączone, spreparowany komponent REQUEST tworzy wydarzenie zawierające szczegóły spotkania i przypomnienia wybrane przez atakującego pod sfałszowanym organizatorem bez interakcji odbiorcy.

Podatność uwierzytelniania uczestnika w przetwarzaniu kalendarza e-mail Zimbra Collaboration Suite pozwala nieuwierzytelnionemu nadawcy sfałszować odpowiedź innego uczestnika na istniejące spotkanie. Zimbra przekazuje pustą tożsamość nadawcy podczas przetwarzania komponentów iCalendar REPLY, co powoduje pominięcie filtra autoryzacji uczestnika. Atakujący znający UID spotkania, adres organizatora i adres uczestnika może wysłać nieprzestarzałą odpowiedź, która zmienia status uczestnictwa uczestnika w kalendarzu organizatora.

Podatność uwierzytelniania organizatora w przetwarzaniu kalendarza e-mail Zimbra Collaboration Suite pozwala nieuwierzytelnionemu nadawcy anulować lub zmodyfikować istniejące spotkanie w kalendarzu odbiorcy. Zimbra akceptuje komponenty iCalendar CANCEL i REQUEST bez weryfikacji, czy nadawca wiadomości jest upoważniony do działania jako podany organizator. Atakujący znający UID spotkania i adres organizatora może podać nieprzestarzały numer sekwencji, aby przenieść spotkanie odbiorcy do Kosza lub zastąpić jego szczegóły.

Podatność w Zimbra Collaboration Suite (ZCS) pozwala nieuwierzytelnionym żądaniom do /h/* nadpisywać atrybuty serwletu przeznaczone dla zaufanego wewnętrznego dispatchu. RestFilter kopiuje parametry URL (token uwierzytelniający, konto docelowe, element docelowy, stan dispatchu) do atrybutów żądania używanych przez Classic Web Client. W połączeniu z CVE-2026-10632 w ZCS 10.1.16 pozwala to atakującemu dostarczyć własny ważny token i identyfikatory dokumentów oraz wykonać JavaScript w zalogowanej sesji przeglądarki innego użytkownika.

W Zimbra Collaboration Suite (ZCS) występuje błąd rozliczania kwot skrzynki. Uwierzytelniony użytkownik może wielokrotnie udostępniać i cofać udostępnienie dokumentu, aby trwale zużywać kwotę skrzynki innego użytkownika.

W funkcji testowania źródeł danych Zimbra Collaboration Suite (ZCS) występuje wstrzyknięcie poleceń SMTP. Uwierzytelniony użytkownik może wstrzyknąć CR/LF do adresu e-mail w kopercie SMTP, a po pomyślnym logowaniu POP3/IMAP Zimbra wysyła wstrzyknięte polecenia do usługi SMTP.

Podatność typu reflected XSS w Classic Web Client Zimbra Collaboration Suite pozwala atakującemu wstrzyknąć JavaScript przez parametr packages edytora dokumentów /h/rest. Edytor wstawia nazwy pakietów do atrybutów skryptu bez kodowania HTML. W połączeniu z CVE-2026-50053 atakujący z zwykłym kontem Zimbra może wykonać JavaScript w sesji przeglądarki innego zalogowanego użytkownika.

Obejście limitu szybkości uwierzytelniania w Zimbra Collaboration Suite 10.1.0 do 10.1.21 pozwala nieuwierzytelnionym atakującym na wielokrotne próby zgadywania hasła przez GraphQL bez zwiększania licznika niepowodzeń dla źródłowego adresu IP.

Podatność wstrzyknięcia filtra LDAP w Zimbra Collaboration Suite w wersjach od 10.1.0 do 10.1.21 pozwala nieuwierzytelnionym atakującym modyfikować zewnętrzne filtry wyszukiwania LDAP. W domenach korzystających z uwierzytelniania opartego na filtrach wyszukiwania i leniwego provisioningu tworzy to oracle haseł dla użytkowników zewnętrznego katalogu. Uwierzytelnione wyszukiwania S/MIME mogą również zwracać certyfikaty i dane tożsamości dla nieprzewidzianych wpisów katalogowych.

Błąd egzekwowania polityki w Zimbra Collaboration Suite pozwala uwierzytelnionemu użytkownikowi obejść wyłączone przekazywanie poczty, wykorzystując akcję Sieve notify do wysyłania kopii treści i nagłówków wiadomości na dowolny adres.

Podatność autoryzacyjna w Zimbra Collaboration Suite w żądaniu GrantRightsRequest pozwala atakującemu z dostępem do uwierzytelnionego konta na nadanie innemu lokalnemu kontu prawa loginAs, tworząc trwały dostęp do skrzynki pocztowej i uprawnienia do wysyłania poczty, które przetrwają zmianę hasła i wygaśnięcie sesji.

Obejście autoryzacji w handlerze EWS FindItem w Zimbra Collaboration Suite w wersjach od 10.1.0 do 10.1.19 pozwala uwierzytelnionemu użytkownikowi z włączonym EWS na odczyt pełnych elementów skrzynki pocztowej, w tym surowego MIME i załączników, z dowolnych lokalnych kont bez nadania współdzielenia lub delegacji.