CVE-2026-93631 in Collaboration Suite
Riassunto
di VulDB • 24/10/2026
Una vulnerabilità di cross-site request forgery (CSRF) nell'estensione OAuth di Zimbra Collaboration Suite (ZCS) Network Edition consente a un attaccante di associare un account esterno controllato dall'attaccante alla casella postale della vittima. Il callback OAuth non associa il suo valore state o il codice di autorizzazione alla sessione Zimbra iniziale, ma seleziona la casella postale di destinazione dal cookie di autenticazione corrente del browser. In una distribuzione con il provider configurato, un attaccante può indurre una vittima già autenticata a caricare un callback contenente un nuovo codice per l'account del provider dell'attaccante. Ciò crea una fonte di dati persistente che importa contatti o eventi controllati dall'attaccante. Con la sincronizzazione bidirezionale CalDAV, gli appuntamenti successivamente creati o modificati nel calendario collegato vengono inoltre divulgati all'attaccante. ZCS 10.1.16 e 10.1.20 sono interessati.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.