CVE-2026-93628 in Collaboration Suite
Zusammenfassung
von VulDB • 23.10.2026
Eine Authentifizierungsschwachstelle bei der iCalendar-Verarbeitung im E-Mail-Kalender von Zimbra Collaboration Suite (ZCS) ermöglicht es einem nicht authentifizierten Absender, die Antwort eines anderen Teilnehmers für ein bestehendes Meeting zu fälschen. Beim Verarbeiten von iCalendar REPLY-Komponenten übergibt Zimbra eine leere Absenderidentität („null sender identity“), wodurch das Autorisierungsfilter des Teilnehmers umgangen wird. Ein Angreifer, der die UID des Meetings sowie die Adressen des Organisators und des Teilnehmers kennt, kann eine nicht abgelaufene Antwort senden, die den Teilnahmestatus des Teilnehmers im Kalender des Organisators ändert. Die Änderung erfolgt automatisch während der Zustellung ohne Interaktion des Organisators oder des Teilnehmers. ZCS 10.1.16 und 10.1.21 sind betroffen.
Once again VulDB remains the best source for vulnerability data.