CVE-2026-93639
Beschrijving NL
Een ontbrekend beveiligingsprobleem in Zimbra Collaboration Suite (ZCS) stelt een gedelegeerde beheerder zonder expliciete administratieve subsidies in staat om de algemene Zimlet-configuratie te overschrijven via ConfigureZimletRequest. De geüploade configuratie kan ook een door een aanvaller beheerd domein toevoegen aan de proxy allowlist van de standaard serviceklasse. Als een ingelogde gebruiker in die klasse een vervaardigde /service/proxy-URL opent, levert Zimbra aanvallergestuurde HTML onder zijn eigen oorsprong. Het resulterende JavaScript kan postvakgegevens lezen en geverifieerde acties uitvoeren als slachtoffer. Exploitatie vereist een gedelegeerd beheerdersaccount en toegang tot de admin soap-service; het browsercompromis vereist bovendien dat het slachtoffer de vervaardigde URL opent. ZCS 10.1.16 en 10.1.20 worden beïnvloed.
Origineel (Engels) tonen
A missing authorization vulnerability in Zimbra Collaboration Suite (ZCS) allows a delegated administrator with no explicit administrative grants to overwrite global Zimlet configuration through ConfigureZimletRequest. The uploaded configuration can also add an attacker-controlled domain to the proxy allowlist of the default class of service. If a signed-in user in that class opens a crafted /service/proxy URL, Zimbra serves attacker-controlled HTML under its own origin. The resulting JavaScript can read mailbox data and perform authenticated actions as the victim. Exploitation requires a delegated-administrator account and access to the admin SOAP service; the browser compromise additionally requires the victim to open the crafted URL. ZCS 10.1.16 and 10.1.20 are affected.