- Son 7 gün
- CWE-352
CVE-2026-93631
Zimbra Collaboration Suite OAuth eklentisinde hesap bağlamaya izin veren CSRF açığı
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- rapid7
ÖzetTürkçe
Zimbra Collaboration Suite (ZCS) Network Edition'ın OAuth eklentisinde bulunan siteler arası istek sahteciliği (CSRF) açığı, bir saldırganın kendi kontrolündeki harici hesabı kurbanın posta kutusuna bağlamasına olanak tanır. OAuth geri çağırma işlemi, state değerini veya yetkilendirme kodunu başlatan Zimbra oturumuna bağlamaz; bunun yerine hedef posta kutusunu tarayıcının mevcut kimlik doğrulama çerezinden seçer. Sağlayıcının yapılandırıldığı bir kurulumda saldırgan, oturum açmış bir kurbanı, saldırganın sağlayıcı hesabına ait yeni bir kod içeren bir geri çağırma adresini yüklemeye yöneltebilir. Bu durum, saldırgan kontrolündeki kişi veya etkinlikleri içe aktaran kalıcı bir veri kaynağı oluşturur. Çift yönlü CalDAV senkronizasyonu kullanıldığında, bağlı takvimde sonradan oluşturulan veya düzenlenen randevular da saldırgana ifşa edilir. ZCS 10.1.16 ve 10.1.20 sürümleri etkilenmektedir.
Kaynaktaki açıklama (İngilizce)
A cross-site request forgery vulnerability in the OAuth extension of Zimbra Collaboration Suite (ZCS) Network Edition allows an attacker to link an attacker-controlled external account to a victim's mailbox. The OAuth callback does not bind its state value or authorization code to the initiating Zimbra session and instead selects the destination mailbox from the browser's current authentication cookie. On a deployment with the provider configured, an attacker can induce a signed-in victim to load a callback containing a fresh code for the attacker's provider account. This creates a persistent data source that imports attacker-controlled contacts or events. With bidirectional CalDAV synchronization, appointments subsequently created or edited in the linked calendar are also disclosed to the attacker. ZCS 10.1.16 and 10.1.20 are affected.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Zimbra Collaboration Suite | ≤ 10.1.20 | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.