CVE-2025-66511
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Aplikacja Nextcloud Calendar przed wersją 6.0.3 generuje tokeny uczestników propozycji spotkań przy użyciu funkcji skrótu, co pozwala atakującemu obliczyć prawidłowe tokeny. Dzięki temu atakujący może uzyskać szczegóły i zgłaszać terminy w propozycjach spotkań. Tokeny nie są generowane w sposób w pełni losowy.
Ocena ryzyka
Atakujący może bez autoryzacji uzyskać dostęp do szczegółów propozycji spotkań i modyfikować terminy, co może prowadzić do wycieku informacji lub zakłócenia planowania w organizacji.
Rekomendacja
Zaktualizuj aplikację Nextcloud Calendar do wersji 6.0.3 lub nowszej, aby naprawić sposób generowania tokenów uczestników.
Inne podatności w Nextcloud Calendar
Zobacz wszystkie- CVE-2025-66550Średnie
Aplikacja Nextcloud Calendar przed wersjami 4.7.17 i 5.2.4 pozwala złośliwemu użytkownikowi utworzyć wydarzenie z załącznikiem wskazującym na link do pliku na tym samym serwerze Nextcloud. Plik jest pobierany bez potwierdzenia akcji przez użytkownika.
- CVE-2025-66546Niskie
Nextcloud Calendar to aplikacja kalendarza dla Nextcloud. W wersjach przed 4.7.19, 5.5.6 i 6.0.1 aplikacja pozwalała na rezerwację spotkań przy użyciu sekwencyjnego identyfikatora bez znajomości tokenu rezerwacji. Podatność została naprawiona w wersjach 4.7.19, 5.5.6 i 6.0.1.
Oryginalny opis (angielski, źródło NVD)
Nextcloud Calendar is a calendar app for Nextcloud. Prior to 6.0.3, the Calendar app generates participant tokens for meeting proposals using a hash function, allowing an attacker to compute valid participant tokens, which allowed them to request details and submit dates in meeting proposals. The tokens are not purely random generated. This vulnerability is fixed in 6.0.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS