CVE-2026-93636
Publiée le 2026-10-23 · Dernière modification le 2026-10-28
Les versions 10.1.16 et 10.1.21 de Zimbra Collaboration Suite (ZCS) sont concernées. Ce logiciel fournit des services intégrés de messagerie, de calendrier et de collaboration pour les organisations. La faille provient d'un défaut de validation des noms d'attributs dans les requêtes de recherche du calendrier, ce qui permet à un utilisateur d'injecter des commandes de filtre LDAP malveillantes dans la requête backend.
Un utilisateur authentifié disposant d'un accès réseau peut exploiter cette vulnérabilité pour divulguer des données internes sensibles, telles que les noms d'hôte des boîtes aux lettres et les routes de transport de messagerie. Cela affecte la confidentialité, mais ne permet pas à l'attaquant de modifier des données ou de faire planter le système. Comme l'exploitation nécessite un compte utilisateur valide et que l'impact sur la sécurité globale du système est faible, le risque est considéré comme modéré.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
An LDAP filter injection vulnerability in Zimbra Collaboration Suite (ZCS) allows an authenticated user to query otherwise unreturned attributes of calendar resources through SearchCalendarResourcesRequest. Zimbra escapes search values but inserts the supplied attribute names directly into LDAP filter expressions without validation. An attacker can inject additional conditions and use repeated matching queries to recover readable resource attributes such as internal mailbox hostnames and mail transport routes. The search remains restricted to calendar-resource objects and the LDAP service account's access rights. ZCS 10.1.16 and 10.1.21 are affected.