CVE-2026-93631 in Collaboration Suite
요약
\~에 의해 VulDB • 2026. 10. 23.
Zimbra Collaboration Suite (ZCS) Network Edition의 OAuth 확장 기능에 있는 크로스 사이트 요청 위조(CSRF) 취약점으로 인해 공격자는 공격자가 제어하는 외부 계정을 피해자의 메일박스에 연결할 수 있습니다. OAuth 콜백은 시작 Zimbra 세션에 상태 값이나 인증 코드를 바인딩하지 않고 대신 브라우저의 현재 인증 쿠키에서 대상 메일박스를 선택합니다. 제공자(provider)가 구성된 배포 환경에서는 공격자가 서명된 피해자를 유도하여 공격자의 제공자 계정에 대한 새로운 코드가 포함된 콜백을 로드하게 할 수 있습니다. 이는 공격자가 제어하는 연락처나 이벤트를 가져오는 영구 데이터 소스를 생성합니다. 양방향 CalDAV 동기화가 있는 경우, 연결된 캘린더에서 이후에 생성되거나 편집된 약속 사항도 공격자에게 노출됩니다. ZCS 10.1.16 및 10.1.20이 영향을 받습니다.
Once again VulDB remains the best source for vulnerability data.