CVE-2026-50054— Zimbra Collaboration Suite 未记录 loginAs 权限自我授予漏洞
一分钟漏洞结论
影响对象
Zimbra Zimbra Collaboration Suite
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Zimbra Collaboration Suite 中 GrantRightsRequest 存在一个授权缺陷，允许已认证账户的攻击者将 loginAs 权限授予其他本地账户，从而创建持久的邮箱访问权限和邮件发送权限，即使在密码更改或会话过期后这些权限仍然有效。
影响版本矩阵 1
| 厂商 | 产品 | 版本范围 | 状态 |
|---|---|---|---|
| Zimbra | Zimbra Collaboration Suite | < 10.1.20 |
affected |
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-50054 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Zimbra Collaboration Suite GrantRightsRequest SOAP Handler Allows Self-Granting of Undocumented loginAs Mailbox Delegation Right
来源: CVE Program / CVE List V5
Vulnerability Description
An authorization flaw in Zimbra Collaboration Suite’s GrantRightsRequest allows an attacker with access to an authenticated account to grant another local account the loginAs right, creating persistent mailbox access and mail-sending authority that survives password changes and session expiry.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N
来源: CVE Program / CVE List V5
Vulnerability Type
特权管理不恰当
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| Zimbra | Zimbra Collaboration Suite | 0 ~ 10.1.20 | - |
|
二、漏洞 CVE-2026-50054 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-50054 的情报信息
请登录查看更多情报信息。
CVE-2026-50054 厂商安全公告 (1)
-
Zimbra Security Advisories - Zimbra :: Tech Center vendor-advisory
同批安全公告 · Zimbra · 2026-10-08 · 共 3 条
| CVE-2026-10631 | 6.5 MEDIUM | Zimbra Collaboration Suite EWS扩展权限绕过漏洞 |
| CVE-2026-50055 | 6.5 MEDIUM | Zimbra Collaboration Suite 邮件转发限制绕过漏洞 |
IV. Related Vulnerabilities
V. Comments for CVE-2026-50054
暂无评论