CVE-2026-93628
Beschrijving NL
Een beveiligingslek voor de verificatie van deelnemers in de verwerking van e-mailagenda's van Zimbra Collaboration Suite (ZCS) stelt een niet-geverifieerde afzender in staat om de reactie van een andere deelnemer op een bestaande vergadering te vervalsen. Zimbra geeft een nulafzenderidentiteit door bij het verwerken van iCalendar-antwoordcomponenten, waardoor het autorisatiefilter voor deelnemers wordt overgeslagen. Een aanvaller die de UID van de vergadering, het adres van de organisator en het adres van de deelnemer kent, kan een niet-verouderde reactie verzenden die de deelnamestatus van de deelnemer in de agenda van de organisator wijzigt. De wijziging vindt automatisch plaats tijdens de bezorging zonder interactie met de organisator of de deelnemer. ZCS 10.1.16 en 10.1.21 worden beïnvloed.
Origineel (Engels) tonen
An attendee authentication vulnerability in the email calendar processing of Zimbra Collaboration Suite (ZCS) allows an unauthenticated sender to forge another attendee's response to an existing meeting. Zimbra passes a null sender identity when processing iCalendar REPLY components, causing the attendee authorization filter to be skipped. An attacker who knows the meeting UID, organizer address and attendee address can send a non-outdated reply that changes the attendee's participation status in the organizer's calendar. The change occurs automatically during delivery without organizer or attendee interaction. ZCS 10.1.16 and 10.1.21 are affected.