CVE-2026-93627 Evasión de autenticación en el procesamiento de calendario de Zimbra Collaboration Suite
Zimbra acepta componentes iCalendar CANCEL y REQUEST sin verificar que el remitente esté autorizado como organizador. Un atacante no autenticado que conozca el UID y la dirección del organizador puede cancelar o modificar una reunión existente en el calendario del destinatario, sin interacción de este. Afecta a ZCS 10.1.16 y 10.1.21.
CVSS 3.1
- Probabilidad de explotación0,4 %
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Zimbra Zimbra Collaboration Suite
hasta 10.1.21
Qué hacer
- Verificá si usás Zimbra Collaboration Suite y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 5.3 MEDIA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadBaja
- DisponibilidadNinguna
Descripción original
An organizer authentication vulnerability in the email calendar processing of Zimbra Collaboration Suite (ZCS) allows an unauthenticated sender to cancel or modify an existing meeting in a recipient's calendar. Zimbra accepts iCalendar CANCEL and REQUEST components without verifying that the email sender is authorized to act as the supplied organizer. An attacker who knows the meeting UID and organizer address can supply a non-outdated sequence number to move the recipient's meeting to Trash or replace its details. Processing occurs automatically during email delivery without recipient interaction. ZCS 10.1.16 and 10.1.21 are affected.
Referencias (2)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.