Vulnerabilidad en el archivo cs/service/account/AutoCompleteGal.java en cualquier cuenta GAL en zm-mailbox (CVE-2020-10194)
Gravedad CVSS v3.1:
MEDIA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
20/03/2020
Última modificación:
21/07/2021
Descripción
El archivo cs/service/account/AutoCompleteGal.java en zm-mailbox versiones anteriores a 8.8.15.p8, permite a usuarios autenticados solicitar cualquier cuenta GAL. Esto difiere del comportamiento previsto en el cual el dominio del usuario autenticado debe coincidir con el dominio de la cuenta galsync en la petición.
Impacto
Puntuación base 3.x
6.50
Gravedad 3.x
MEDIA
Puntuación base 2.0
4.00
Gravedad 2.0
MEDIA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:zimbra:zm-mailbox:*:*:*:*:*:*:*:* | 8.8.15 (excluyendo) | |
| cpe:2.3:a:zimbra:zm-mailbox:8.8.15:-:*:*:*:*:*:* | ||
| cpe:2.3:a:zimbra:zm-mailbox:8.8.15:patch1:*:*:*:*:*:* | ||
| cpe:2.3:a:zimbra:zm-mailbox:8.8.15:patch2:*:*:*:*:*:* | ||
| cpe:2.3:a:zimbra:zm-mailbox:8.8.15:patch3:*:*:*:*:*:* | ||
| cpe:2.3:a:zimbra:zm-mailbox:8.8.15:patch4:*:*:*:*:*:* | ||
| cpe:2.3:a:zimbra:zm-mailbox:8.8.15:patch5:*:*:*:*:*:* | ||
| cpe:2.3:a:zimbra:zm-mailbox:8.8.15:patch6:*:*:*:*:*:* | ||
| cpe:2.3:a:zimbra:zm-mailbox:8.8.15:patch7:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página



