自己報告されたバージョン番号によると、Zimbra Collaboration Server は、localconfig で GraphQL GET メソッドを無効にするクロスサイトリクエスト偽造の影響を受けます。これらのメソッドを制御するために、新しいローカル構成属性である zimbra_gql_enable_dangerous_deprecated_get_method_will_be_removed が導入されました。デフォルト値は TRUE ではないため、TRUE に設定しないことをお勧めします。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Zimbra Collaboration Server 9.0.0 < 9.0.0 パッチ 42、10.0 < 10.0.10, 10.1.0 < 10.1.2 CSRF

medium Nessus プラグイン ID 209226

バージョン 1.3