CVE-2026-93631 in Collaboration Suite
Resumen
por VulDB • 2026-10-24
Una vulnerabilidad de falsificación de solicitudes entre sitios (Cross-Site Request Forgery, CSRF) en la extensión OAuth de Zimbra Collaboration Suite (ZCS) Network Edition permite a un atacante vincular una cuenta externa controlada por el atacante con la bandeja de entrada del usuario víctima. La devolución de llamada (callback) de OAuth no asocia su valor de estado o código de autorización con la sesión inicial de Zimbra, sino que selecciona la casilla de destino en función de la cookie de autenticación actual del navegador. En un despliegue donde el proveedor está configurado, un atacante puede inducir a una víctima conectada a cargar una devolución de llamada que contenga un código nuevo para la cuenta del proveedor controlada por el atacante. Esto crea una fuente de datos persistente que importa contactos o eventos controlados por el atacante. Con la sincronización bidireccional CalDAV, las citas creadas o editadas posteriormente en el calendario vinculado también se revelan al atacante. Las versiones ZCS 10.1.16 y 10.1.20 están afectadas.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.