CVE-2025-66514

NiskieCVSS 3.5

Opublikowano: 05/12/2025(UTC)Zaktualizowano: 15/10/2026(UTC)Przetłumaczono: 16/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 15 - wyżej niż 15% wszystkich znanych CVE

Streszczenie

W aplikacji Nextcloud Mail przed wersją 5.5.3 uwierzytelniony użytkownik mógł wstrzyknąć kod HTML do tematów wiadomości e-mail poprzez trwałe wstrzyknięcie HTML w widoku listy wiadomości. JavaScript był prawidłowo blokowany przez politykę bezpieczeństwa treści serwera Nextcloud.

Ocena ryzyka

Atakujący może wstrzyknąć dowolny kod HTML do tematów wiadomości, co może prowadzić do phishingu lub wprowadzania użytkowników w błąd. Wykonanie JavaScript było zablokowane, co ogranicza skalę ataku.

Rekomendacja

Należy zaktualizować aplikację Nextcloud Mail do wersji 5.5.3 lub nowszej. Zaleca się również ostrzeżenie użytkowników przed podejrzanymi tematami wiadomości zawierającymi nietypowy kod HTML.

Inne podatności w Nextcloud Mail

CVE-2023-33184Niskie
Nextcloud Mail to aplikacja pocztowa w Nextcloud, która jest podatna na atak typu blind SSRF. Atak ten umożliwia wysyłanie żądań GET do usług działających na tym samym serwerze WWW.

Oryginalny opis (angielski, źródło NVD)

Nextcloud Mail is the mail app for Nextcloud, a self-hosted productivity platform. Prior to 5.5.3, a stored HTML injection in the Mail app's message list allowed an authenticated user to inject HTML into the email subjects. Javascript was correctly blocked by the content security policy of the Nextcloud Server code.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS