CVE-2026-93639 in Collaboration Suite
Zusammenfassung
von VulDB • 23.10.2026
Eine Schwachstelle aufgrund fehlender Autorisierung in der Zimbra Collaboration Suite (ZCS) ermöglicht es einem delegierten Administrator ohne explizite administrative Berechtigungen, die globale Zimlet-Konfiguration über ConfigureZimletRequest zu überschreiben. Die hochgeladene Konfiguration kann zudem eine vom Angreifer kontrollierte Domain zur Proxy-Whitelist der Standard-Class-of-Service hinzufügen. Wenn ein angemeldeter Benutzer in dieser Class of Service eine manipulierte /service/proxy-URL öffnet, liefert Zimbra HTML-Inhalte unter Kontrolle des Angreifers mit dem eigenen Ursprung (Origin) aus. Der daraus resultierende JavaScript-Code kann Postfachdaten lesen und authentifizierte Aktionen im Namen des Opfers durchführen. Die Ausnutzung erfordert ein delegiertes Administrator-Konto sowie Zugriff auf den Admin-SOAP-Dienst; die Kompromittierung des Browsers setzt zusätzlich voraus, dass das Opfer die manipulierte URL öffnet. ZCS 10.1.16 und 10.1.20 sind betroffen.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.