Podatności Nextcloud

Problem w Nextcloud (versionCode 30390190) pozwala atakującym wymusić wylogowanie ofiar i przełączenie na kontrolowany przez atakującego profil, omijając uwierzytelnianie.

Podatność w aplikacji Tables w Nextcloud (wersje od 0.7.0 do przed 0.7.7, 0.8.0 do przed 0.8.10, 0.9.0 do przed 0.9.8, 1.0.0 do przed 1.0.4). Uwierzytelniony atakujący z dostępem do aplikacji Tables może wykonać dowolne zapytania SQL o długości do 20 bajtów poprzez wstrzyknięcie przechowywane. Możliwe jest ominięcie ograniczenia długości.

Nextcloud w wersjach od 4.3.0 do 5.2.7 przed poprawką umożliwia usuniętemu współpracownikowi nieautoryzowany odczyt plików przesłanych przez respondentów formularza. Problem dotyczy tylko plików z formularzy, do których użytkownik miał wcześniej dostęp do wyników.

Nextcloud to platforma współpracy nad treścią. Od wersji 5.5.13 do przed 5.5.17 oraz od 6.2.0 do przed 6.2.3 uwierzytelniony użytkownik może enumerować użytkowników w tej samej instancji Nextcloud, używając endpointu aplikacji Kalendarz do sugerowania uczestników. Ograniczenia udostępniania, stosowane w innych endpointach, nie były tutaj skuteczne.

W Nextcloud od wersji 1.3.6 do przed 8.4.0 nieprawidłowe sprawdzenie pozwalało użytkownikom dostarczonym przez LDAP na uwierzytelnianie za pomocą OIDC nawet po ich usunięciu z LDAP.

Nextcloud to otwarta platforma współpracy nad treścią. Od wersji 6.1.0 do przed 8.2.2, atakujący może tworzyć linki przekierowujące użytkowników na inną stronę, gdy ofiara użyje linku atakującego do logowania przez OIDC. Problem został naprawiony w wersji 8.2.2.

W Nextcloud przed wersją 2.7.2 uwierzytelnieni użytkownicy mogą sprawdzać, czy dowolne pliki są powiązane z określonymi przepływami zatwierdzania, gdzie mogą żądać zatwierdzenia. Problem został naprawiony w wersji 2.7.2.

W Nextcloud przed wersją 5.2.6, brak sprawdzenia uprawnień umożliwiał użytkownikom żądanie odczytu zgłoszeń formularzy innych użytkowników. Problem został naprawiony w wersji 5.2.6.

W Nextcloud przed wersjami 21.1.10, 22.0.11 i 23.0.3 wykryto podatność, która pozwala użytkownikowi z niskimi uprawnieniami na wyciszenie mikrofonów innych użytkowników podczas połączeń, gdy nie zainstalowano High-performance Backend.

W Nextcloud, platformie do współpracy, w wersjach od 17.0.0 do 17.0.15, 18.0.0 do 18.1.12, 19.0.0 do 19.1.16, 20.0.0 do 20.1.11 oraz 21.0.0 do 21.0.4, użytkownik z uprawnieniami READ i CREATE, ale bez UPDATE, może zmieniać nazwy plików w folderze zespołu. Problem został naprawiony w wersjach 17.0.15, 18.1.12, 19.1.16, 20.1.11 i 21.0.4.

W Nextcloud od wersji 1.15.0 do przed 1.15.4, 1.16.0 do przed 1.16.3, 1.17.0 do przed 1.17.1 oraz 1.18.0 do przed 1.18.1 wykryto podatność, która pozwala złośliwemu użytkownikowi z dostępem do linku do zaszyfrowanego folderu na upuszczenie plików do innych zaszyfrowanych folderów właściciela. Odczytywanie i modyfikowanie innych plików nie było możliwe.

Nextcloud (platforma współpracy) w wersjach od 0.3.0 do przed 3.1.0, 5.0.0 do przed 5.1.0 oraz 6.0.0 do przed 6.4.0 zawiera brak weryfikacji podpisu w User OIDC, co pozwala złośliwemu dostawcy ID4me na podszycie się pod dowolnego użytkownika.

W Nextcloud Server od wersji 32.0.0 do przed 32.0.7 oraz 33.0.0 do przed 33.0.1 wykryto brak kontroli dostępu na poziomie API, co pozwalało na dodawanie nieznanych kręgów (circles) po ich ID do innych kręgów. Ze względu na złożoność ID (62^15) atak jest mało prawdopodobny, ale jeśli ID jest znane, możliwe jest śledzenie członkostwa.

Nextcloud, platforma do współpracy open source, w wersjach od 2.6.0 do przed 4.3.0, umożliwiała gościom z dostępem tylko do odczytu do kolekcji dostęp do usuniętych stron z kosza, jeśli poprzednia strona kolekcji została usunięta. Problem został naprawiony w wersji 4.3.0.

Nextcloud w wersjach od 33.0.0 do 33.1.0 (przed 33.1.0) zawiera podatność w aplikacji Android. Po odblokowaniu zablokowanego telefonu z Androidem, przycisk wstecz mógł ominąć zabezpieczenie PIN-em aplikacji Nextcloud Files.

Podatność cross-site scripting (XSS) w dostępnym katalogu przykładowym files_pdfviewer w Nextcloud w wersjach przed 22.2.10.33, 23.0.12.29, 24.0.12.28, 25.0.13.23, 26.0.13.20, 27.1.11.20, 28.0.14.11, 29.0.16.8, 30.0.17, 31.0.10 i 32.0.1 pozwala atakującym na wykonanie dowolnego kodu JavaScript w kontekście przeglądarki użytkownika poprzez spreparowany plik PDF do viewer.html. Problem jest powiązany z CVE-2024-4367, ale główną przyczyną jest udostępnianie wykonywalnego kodu przykładowego w tej samej domenie.