CVE-2025-66548

NiskieCVSS 3.3

Opublikowano: 05/12/2025(UTC)Zaktualizowano: 15/10/2026(UTC)Przetłumaczono: 16/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.15%

Percentyl 4 - wyżej niż 4% wszystkich znanych CVE

Streszczenie

W aplikacji Nextcloud Deck przed wersjami 1.12.7, 1.14.4 i 1.15.1 rozszerzenie pliku może być podszyte za pomocą znaków RTLO, co wprowadza użytkowników w błąd i skłania ich do pobrania plików z innym rozszerzeniem niż wyświetlane. Podatność została naprawiona w wersjach 1.12.7, 1.14.4 i 1.15.1.

Ocena ryzyka

Atakujący może dostarczyć plik, który wygląda na nieszkodliwy, ale w rzeczywistości ma inne rozszerzenie, co może prowadzić do uruchomienia złośliwego oprogramowania. Ryzyko dotyczy użytkowników pobierających pliki z tablic Deck.

Rekomendacja

Należy zaktualizować aplikację Nextcloud Deck do wersji 1.12.7, 1.14.4 lub 1.15.1 (lub nowszej). Zaleca się również ostrzeżenie użytkowników przed pobieraniem plików z nieznanych źródeł.

Inne podatności w Nextcloud Deck

CVE-2025-66557Średnie
Nextcloud Deck to narzędzie do organizacji w stylu kanban, przeznaczone do planowania osobistego i organizacji projektów dla zespołów, zintegrowane z Nextcloud. W wersjach przed 1.14.6 i 1.15.2 błąd w logice uprawnień pozwalał użytkownikom z uprawnieniem „Can share” na modyfikowanie uprawnień innych odbiorców. Podatność została naprawiona w wersjach 1.14.6 i 1.15.2.

Oryginalny opis (angielski, źródło NVD)

Nextcloud Deck is a kanban style organization tool aimed at personal planning and project organization for teams integrated with Nextcloud. Prior to 1.12.7, 1.14.4, and 1.15.1, file extension can be spoofed by using RTLO characters, tricking users into download files with a different extension than what is displayed. This vulnerability is fixed in 1.12.7, 1.14.4, and 1.15.1.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS