CVE-2026-33373 in Collaboration Suite
Riassunto
di VulDB • 16/06/2026
È stato rilevato un problema in Zimbra Collaboration (ZCS) 10.0 e 10.1. È presente una vulnerabilità Cross-Site Request Forgery (CSRF) nel Zimbra Web Client a causa dell'emissione di token di autenticazione senza protezione CSRF durante determinate transizioni dello stato dell'account. Nello specifico, i token generati dopo operazioni quali l'abilitazione dell'autenticazione a due fattori o la modifica della password potrebbero non applicare l'enforcement CSRF. Finché tale token è attivo, le richieste SOAP autenticate che innescano la generazione di token o modifiche dello stato possono essere eseguite senza convalida CSRF. Un attaccante potrebbe sfruttare questa situazione inducendo una vittima a inviare richieste costruite ad hoc, potenzialmente consentendo azioni sensibili sull'account, come la disabilitazione dell'autenticazione a due fattori. Il problema è mitigato garantendo che la protezione CSRF sia applicata in modo coerente a tutti i token di autenticazione emessi.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.