Zimbra - CVE-2026-93639

Il s’agit d’une vulnérabilité dans la requête SOAP ConfigureZimletRequest de Zimbra Collaboration Suite.

Zimbra Collaboration Suite est une plateforme de messagerie et de collaboration auto-hébergée. Elle propose le courrier électronique, les calendriers, les contacts, les tâches et le partage de fichiers. Elle offre deux clients web, Classic et Modern. Elle expose aussi des services de compatibilité, comme EWS pour Outlook. Une édition commerciale, Network Edition, existe.

Le contrôle d’autorisation est absent sur cette requête. Un administrateur délégué sans aucun droit d’administration explicite peut écraser la configuration globale des Zimlets. La configuration envoyée peut aussi ajouter un domaine contrôlé par l’attaquant à la liste d’autorisation du proxy de la classe de service par défaut. Un utilisateur connecté de cette classe de service ouvre ensuite une URL /service/proxy forgée. Zimbra lui sert alors du HTML contrôlé par l’attaquant depuis sa propre origine. Le JavaScript s’exécute dans la session de la victime. L’exploitation requiert un compte d’administrateur délégué et l’accès au service SOAP d’administration. La compromission du navigateur requiert en plus que la victime ouvre l’URL forgée.

Elle permet de lire les données de la boîte aux lettres de la victime et d’effectuer des actions authentifiées en son nom.