CVE-2026-93634
Beschrijving NL
Een beveiligingslek voor accountoverschrijdende autorisatie in Zimbra Collaboration Suite (ZCS) stelt een geverifieerde gebruiker in staat om vervalste gedeelde bestandsrecords in het postvak van een andere gebruiker in te voegen via FileSharedWithMeRequest. Het verzoek omzeilt de autorisatie van gedelegeerde accounts en accepteert door aanvallers geselecteerde bestandsmetagegevens, eigenaar-ID's en gedeclareerde groottes zonder een corresponderende documentshare te valideren. Een aanvaller kan items planten die zijn toegewezen aan een ander echt lokaal account zonder dat dat account een document deelt. Er is geen slachtofferinteractie vereist. ZCS 10.1.16 en 10.1.20 worden beïnvloed.
Origineel (Engels) tonen
A cross-account authorization vulnerability in Zimbra Collaboration Suite (ZCS) allows an authenticated user to insert forged shared-file records into another user's mailbox through FileSharedWithMeRequest. The request bypasses delegated-account authorization and accepts attacker-selected file metadata, owner identifiers and declared sizes without validating a corresponding document share. An attacker can plant entries attributed to another real local account without that account sharing a document. No victim interaction is required. ZCS 10.1.16 and 10.1.20 are affected.