CVE-2026-93629
Beschrijving NL
Met een beveiligingslek voor organisatorverificatie in Zimbra Collaboration Suite (ZCS) kan een niet-geverifieerde e-mailafzender agenda-uitnodigingen invoegen die aan een andere gebruiker zijn toegewezen. Het e-mailbezorgingspad staat externe uitnodigingen toe, maar verifieert niet dat de afzender van het bericht gemachtigd is om de identiteit van de iCalendar-organisator te gebruiken. Wanneer automatische invoeging van uitnodigingen is ingeschakeld, maakt een vervaardigd VERZOEKONDERDEEL een evenement aan met door aanvallers geselecteerde vergadergegevens en herinneringen onder een vervalste organisator zonder interactie met de ontvanger. Er wordt geen overeenkomstige gebeurtenis gemaakt in de agenda van de geclaimde organisator. ZCS 10.1.16 en 10.1.21 worden beïnvloed.
Origineel (Engels) tonen
An organizer authentication vulnerability in Zimbra Collaboration Suite (ZCS) allows an unauthenticated email sender to insert calendar invitations attributed to another user. The email delivery path permits external invitations but does not verify that the message sender is authorized to use the iCalendar ORGANIZER identity. When automatic invitation insertion is enabled, a crafted REQUEST component creates an event containing attacker-selected meeting details and reminders under a forged organizer without recipient interaction. No corresponding event is created in the claimed organizer's calendar. ZCS 10.1.16 and 10.1.21 are affected.