CVE-2026-93631 in Collaboration Suite
Zusammenfassung
von VulDB • 23.10.2026
Eine Cross-Site-Request-Forgery (CSRF)-Schwachstelle in der OAuth-Erweiterung von Zimbra Collaboration Suite (ZCS) Network Edition ermöglicht es einem Angreifer, ein vom Angreifer kontrolliertes externes Konto mit dem Postfach eines Opfers zu verknüpfen. Der OAuth-Callback bindet seinen Statuswert oder den Autorisierungscode nicht an die initiale Zimbra-Sitzung und wählt stattdessen das Ziel-Postfach aus dem aktuellen Authentifizierungs-Cookie des Browsers aus. Bei einer Bereitstellung mit konfiguriertem Anbieter kann ein Angreifer einen angemeldeten Opfer dazu bringen, einen Callback zu laden, der einen frischen Code für das Konto des Anbieters des Angreifers enthält. Dies erzeugt eine persistente Datenquelle, die vom Angreifer kontrollierte Kontakte oder Ereignisse importiert. Bei bidirektionaler CalDAV-Synchronisierung werden auch Termine, die im verknüpften Kalender anschließend erstellt oder bearbeitet werden, an den Angreifer offengelegt. ZCS 10.1.16 und 10.1.20 sind betroffen.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.