CVE-2026-93637
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Obejście limitu szybkości uwierzytelniania w Zimbra Collaboration Suite 10.1.0 do 10.1.21 pozwala nieuwierzytelnionym atakującym na wielokrotne próby zgadywania hasła przez GraphQL bez zwiększania licznika niepowodzeń dla źródłowego adresu IP.
Ocena ryzyka
Atakujący może przeprowadzić atak brute-force na hasła, co może prowadzić do przejęcia kont użytkowników.
Rekomendacja
Zaktualizuj Zimbra Collaboration Suite do wersji nowszej niż 10.1.21, gdy tylko poprawka będzie dostępna, oraz wdroż dodatkowe mechanizmy ograniczające próby logowania.
Inne podatności w Zimbra Collaboration Suite
Zobacz wszystkie- CVE-2022-37042KrytyczneAktywnie exploitowane
Zimbra Collaboration Suite (ZCS) 8.8.15 i 9.0 ma funkcję mboximport, która przyjmuje archiwum ZIP i wyodrębnia z niego pliki. Omijając uwierzytelnianie (brak authtoken), atakujący może przesłać dowolne pliki do systemu, co prowadzi do przejścia do katalogów i zdalnego wykonania kodu. Uwaga: problem istnieje z powodu niepełnej poprawki dla CVE-2022-27925.
- CVE-2022-27925WysokieAktywnie exploitowane
Zimbra Collaboration (ZCS) 8.8.15 i 9.0 ma funkcję mboximport, która przyjmuje archiwum ZIP i wyodrębnia z niego pliki. Uwierzytelniony użytkownik z uprawnieniami administratora ma możliwość przesyłania dowolnych plików do systemu, co prowadzi do przejścia do katalogów.
- CVE-2022-24682ŚrednieAktywnie exploitowane
Podatność w funkcji Kalendarz w Zimbra Collaboration Suite 8.8.x przed 8.8.15 patch 30 pozwala atakującemu na wstrzyknięcie HTML z wykonywalnym JavaScriptem do atrybutów elementów. Znaczniki nie są poprawnie escapowane, co umożliwia wstrzyknięcie dowolnego kodu do dokumentu.
- CVE-2019-9621WysokieAktywnie exploitowane
Podatność SSRF (Server-Side Request Forgery) w komponencie ProxyServlet w Zimbra Collaboration Suite. Umożliwia atakującemu wysyłanie żądań z serwera do wewnętrznych zasobów.
- CVE-2018-6882ŚrednieAktywnie exploitowane
Podatność cross-site scripting (XSS) w funkcji ZmMailMsgView.getAttachmentLinkHtml w Zimbra Collaboration Suite (ZCS) przed 8.7 Patch 1 i 8.8.x przed 8.8.7. Zdalny atakujący może wstrzyknąć dowolny skrypt lub HTML przez nagłówek Content-Location w załączniku e-mail.
- CVE-2026-93635Średnie
Podatność wstrzyknięcia filtra LDAP w Zimbra Collaboration Suite w wersjach od 10.1.0 do 10.1.21 pozwala nieuwierzytelnionym atakującym modyfikować zewnętrzne filtry wyszukiwania LDAP. W domenach korzystających z uwierzytelniania opartego na filtrach wyszukiwania i leniwego provisioningu tworzy to oracle haseł dla użytkowników zewnętrznego katalogu. Uwierzytelnione wyszukiwania S/MIME mogą również zwracać certyfikaty i dane tożsamości dla nieprzewidzianych wpisów katalogowych.
- CVE-2026-50055Średnie
Błąd egzekwowania polityki w Zimbra Collaboration Suite pozwala uwierzytelnionemu użytkownikowi obejść wyłączone przekazywanie poczty, wykorzystując akcję Sieve notify do wysyłania kopii treści i nagłówków wiadomości na dowolny adres.
- CVE-2026-50054Wysokie
Podatność autoryzacyjna w Zimbra Collaboration Suite w żądaniu GrantRightsRequest pozwala atakującemu z dostępem do uwierzytelnionego konta na nadanie innemu lokalnemu kontu prawa loginAs, tworząc trwały dostęp do skrzynki pocztowej i uprawnienia do wysyłania poczty, które przetrwają zmianę hasła i wygaśnięcie sesji.
- CVE-2026-10631Średnie
Obejście autoryzacji w handlerze EWS FindItem w Zimbra Collaboration Suite w wersjach od 10.1.0 do 10.1.19 pozwala uwierzytelnionemu użytkownikowi z włączonym EWS na odczyt pełnych elementów skrzynki pocztowej, w tym surowego MIME i załączników, z dowolnych lokalnych kont bez nadania współdzielenia lub delegacji.
Oryginalny opis (angielski, źródło NVD)
An authentication rate-limit bypass in Zimbra Collaboration Suite 10.1.0 through 10.1.21 allows unauthenticated attackers to make repeated password guesses through GraphQL without incrementing Zimbra’s source-IP failure counter. GraphQL aliases allow multiple authentication attempts in one HTTP request.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS