CVE-2026-93639 in Collaboration Suite
요약
\~에 의해 VulDB • 2026. 10. 23.
Zimbra Collaboration Suite(ZCS)의 누락된 권한 검증 취약점으로 인해 명시적인 관리자 권한이 없는 위임된 관리자가 ConfigureZimletRequest를 통해 전역 Zimlet 구성을 덮어쓸 수 있습니다. 업로드된 구성은 기본 서비스 클래스의 프록시 허용 목록에 공격자가 제어하는 도메인을 추가할 수도 있습니다. 해당 클래스에서 로그인한 사용자가 조작된 /service/proxy URL을 열면, Zimbra는 자체 출처 아래에서 공격자가 제어하는 HTML을 제공합니다. 이로 인해 생성된 JavaScript는 사서함 데이터를 읽거나 피해자로서 인증된 작업을 수행할 수 있습니다. 악용에는 위임 관리자 계정과 관리 SOAP 서비스에 대한 접근이 필요하며, 브라우저 침해의 경우 추가로 피해자가 조작된 URL을 열어야 합니다. ZCS 10.1.16 및 10.1.20가 영향을 받습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.