CVE-2026-33373Zimbra Collaboration (ZCS) 10.0和10.1版本存在跨站请求伪造（CSRF）漏洞。在特定账户状态转换（如启用双因素认证或修改密码）时，系统签发的认证令牌缺乏CSRF保护机制。攻击者可诱导已登录用户访问恶意页面，在无需CSRF验证的情况下执行敏感SOAP请求。这可能导致攻击者禁用双因素认证或修改密码，从而完全控制用户账户，造成严重的安全风险。
该漏洞根源在于Zimbra Web Client在特定操作（如启用2FA或修改密码）后生成的新认证令牌未强制执行CSRF保护。正常情况下，SOAP请求应验证CSRF Token以防止跨站请求。然而，在该漏洞场景下，当新令牌处于活动状态时，经过身份验证的SOAP请求（特别是触发令牌生成或状态变更的请求）绕过了CSRF验证逻辑。攻击者可构造恶意网页或邮件，诱导已登录的Zimbra用户点击访问。由于浏览器会自动附带Cookie，且服务端未验证Referer或Token，导致攻击者能以受害者身份执行禁用2FA等敏感操作，完全接管账户控制权。