VULNERABILIDAD
CVE-2026-93629 Evasión de autenticación en el procesamiento de calendario de Zimbra Collaboration Suite vía REQUEST…
La ruta de entrega de correo permite invitaciones externas pero no verifica que el remitente esté autorizado a usar la identidad ORGANIZER de iCalendar. Con la inserción automática de invitaciones habilitada, un componente REQUEST manipulado crea un evento con detalles y recordatorios elegidos por el atacante bajo un organizador falsificado, sin interacción del destinatario y sin crear el evento en el calendario del organizador suplantado. Afecta a ZCS 10.1.16 y 10.1.21.
Alerta de Nureq Monitor
Detectada 23 OCT · 11:56
CVSS 3.1
5.3MEDIAPROBABILIDAD DE EXPLOTACIÓN (EPSS)
0,4 % PERCENTIL 30
EXPLOTACIÓN ACTIVA
No confirmada
EXPLOIT PÚBLICO
No conocido
Qué es CVE-2026-93629
La ruta de entrega de correo permite invitaciones externas pero no verifica que el remitente esté autorizado a usar la identidad ORGANIZER de iCalendar. Con la inserción automática de invitaciones habilitada, un componente REQUEST manipulado crea un evento con detalles y recordatorios elegidos por el atacante bajo un organizador falsificado, sin interacción del destinatario y sin crear el evento en el calendario del organizador suplantado. Afecta a ZCS 10.1.16 y 10.1.21.
Productos y versiones afectadas
Zimbra Zimbra Collaboration Suite
Qué hacer
- Verificá si usás Zimbra Collaboration Suite y en qué versión: el rango afectado figura arriba.
- Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
- Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.
Calculadora CVSS
CVSS 3.1 · 5.3 MEDIA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Baja
- PRIVILEGIOS REQUERIDOS (PR)
- Ninguno
- INTERACCIÓN DEL USUARIO (UI)
- Ninguna
- ALCANCE (S)
- Sin cambio
- CONFIDENCIALIDAD (C)
- Ninguna
- INTEGRIDAD (I)
- Baja
- DISPONIBILIDAD (A)
- Ninguna
Abrir la calculadora completa →
Descripción original
An organizer authentication vulnerability in Zimbra Collaboration Suite (ZCS) allows an unauthenticated email sender to insert calendar invitations attributed to another user. The email delivery path permits external invitations but does not verify that the message sender is authorized to use the iCalendar ORGANIZER identity. When automatic invitation insertion is enabled, a crafted REQUEST component creates an event containing attacker-selected meeting details and reminders under a forged organizer without recipient interaction. No corresponding event is created in the claimed organizer's calendar. ZCS 10.1.16 and 10.1.21 are affected.
Referencias
- wiki.zimbra.com/wiki/Zimbra_Security_AdvisoriesVENDOR-ADVISORY
- www.rapid7.com/blog/post/ve-breaking-zimbra-identity-boundaries-part-1/RELATED
Historial de la alerta
- VULNERABILIDAD Nueva vulnerabilidad detectada.
CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.