CVE-2026-45544

W aplikacji Nextcloud Tables (wersje od 0.9.0 do 0.9.7 oraz od 1.0.0 do 1.0.2) brak sanityzacji danych umożliwia użytkownikowi z dostępem do aplikacji przeprowadzenie ograniczonej iniekcji SQL w klauzuli ORDER BY, co pozwala na ekstrakcję pojedynczego bitu informacji na żądanie lub opóźnienie bazy danych.

Nextcloud Tables (wersje przed 0.8.7 i 0.9.4) pozwala uwierzytelnionym użytkownikom na przeglądanie metadanych kolumn w innych tabelach aplikacji Tables poprzez modyfikację identyfikatora numerycznego w żądaniu. Podatność została naprawiona w wersjach 0.8.7 i 0.9.4.

Nextcloud Tables przed wersjami 0.8.6 i 0.9.3 umożliwia złośliwemu użytkownikowi utworzenie własnej tabeli, a następnie przeniesienie kolumny do tabeli ofiary. Podatność została naprawiona w wersjach 0.8.6 i 0.9.3.

Nextcloud Tables przed wersjami 0.8.9, 0.9.6 i 1.0.1 nie ograniczał informacji o tym, który stół (numeryczne ID) jest udostępniany którym grupom lub użytkownikom oraz odpowiednich uprawnień wyłącznie do uprzywilejowanych użytkowników. Podatność została naprawiona w wersjach 0.8.9, 0.9.6 i 1.0.1.

Nextcloud Tables umożliwia tworzenie własnych tabel z indywidualnymi kolumnami. Przed wersjami 0.7.6, 0.8.8 i 0.9.5, podczas importu tabeli użytkownik mógł wskazać pliki na serwerze, a jeśli ich format był obsługiwany przez bibliotekę PhpSpreadsheet, były one dołączane, a ich zawartość ujawniana użytkownikowi.