Zimbra Collaboration Suite: Fehlende Autorisierung in ConfigureZimlet ermöglicht kontenübergreifendes XSS
Zusammenfassung
Ein delegierter Administrator ohne explizite Administratorrechte kann über den Admin-SOAP-Aufruf ConfigureZimletRequest die globale Zimlet-Konfiguration überschreiben (CWE-862). Die hochgeladene Konfiguration kann eine vom Angreifer kontrollierte Domain in die Proxy-Allowlist der Standard-Class of Service aufnehmen. Öffnet ein angemeldeter Benutzer eine präparierte /service/proxy-URL, liefert Zimbra vom Angreifer kontrolliertes HTML unter dem eigenen Ursprung aus, und das Skript kann Postfachdaten lesen und Aktionen im Namen des Opfers ausführen.
Betroffen
- Zimbra Collaboration Suite 10.1.16 und 10.1.20 (CVE-Eintrag: Versionen bis einschliesslich 10.1.20)
Behoben in
Unbekannt. Das Herstellerinformation konnte nicht verifiziert werden; die korrigierte Version ist unter https://wiki.zimbra.com/wiki/Zimbra_Security_Advisories zu prüfen.
Umgehung
- Keine bestätigte Herstellerlösung.
- Rechte delegierter Administratorkonten auf das notwendige Minimum beschränken.
- Proxy Allowed Domains unter Class of Service > Advanced prüfen und nicht autorisierte Domains entfernen.
- Nicht benötigte Zimlets deaktivieren.
Ausnutzung
- Erfordert ein delegiertes Administratorkonto mit Zugriff auf den Admin-SOAP-Dienst.
- Die browserseitige Kompromittierung erfordert zusätzlich, dass ein Opfer eine präparierte /service/proxy-URL öffnet.
- CISA SSVC: Exploitation none, nicht automatisierbar, total technische Auswirkung.
Unsere Empfehlung
- Den Herstellerpatch einspielen, sobald die korrigierte Version bestätigt ist.
- Bis dahin Rechte delegierter Administratoren einschränken und überprüfen.
- Proxy-Allowlists und Zimlet-Konfiguration auf unerwartete Domains prüfen.
- Aktivitäten von ConfigureZimletRequest in den Admin-Logs überwachen.
- Benutzer anweisen, unerwartete /service/proxy-Links nicht zu öffnen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Zimbra Security Advisories wiki.zimbra.com
- Rapid7: From One Account to Every Mailbox (Part 1) www.rapid7.com
- VulDB CVE-2026-93639 vuldb.com
- Vulners NVD CVE-2026-93639 vulners.com
- Zextras ConfigureZimlet API reference docs.zextras.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:26.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.