Zimbra : contournement de la limitation des tentatives de connexion via GraphQL

Veille sécuritéBackend & données

P4Faible

Zimbra Collaboration Suite présente un contournement de la limitation des tentatives d’authentification via GraphQL : un attaquant non authentifié peut effectuer des essais de mots de passe sans incrémenter le compteur d’échecs associé à l’adresse IP, notamment en utilisant des alias GraphQL. La fiche fournie indique que les versions 10.1.0 à 10.1.21 sont concernées; le correctif et les mesures d’atténuation ne sont pas précisés dans les informations vérifiées.

IdentifiantCVE-2026-93637

GravitéFaible

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-93637

Analyse technique

Les alias GraphQL permettent plusieurs tentatives d’authentification dans une seule requête HTTP, sans incrémenter le compteur d’échecs par IP décrit dans la fiche.

Impact, versions et correctif

Événement datéPublication NVD horodatée le 2026-10-14T17:20:21.430Z, soit le 2026-10-14T19:20:21+02:00, dans la période demandée.

ImpactFacilite les tentatives répétées de deviner des mots de passe en contournant le compteur de limitation par adresse IP.

Versions affectéesZimbra Collaboration Suite 10.1.0 à 10.1.21

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS3.7

Publication2026-10-14T19:20:21+02:00

Mise à jour2026-10-14T19:20:21+02:00

Action recommandée

Vérifier auprès de Zimbra les versions corrigées et appliquer le correctif dès sa disponibilité; limiter l’exposition de l’API GraphQL et surveiller les tentatives d’authentification répétées.

Sources

NVD — CVE-2026-93637

Priorisation DFS : P4 · 1 source(s).