CVE-2025-66546
NiskieCVSS 3.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Nextcloud Calendar to aplikacja kalendarza dla Nextcloud. W wersjach przed 4.7.19, 5.5.6 i 6.0.1 aplikacja pozwalała na rezerwację spotkań przy użyciu sekwencyjnego identyfikatora bez znajomości tokenu rezerwacji. Podatność została naprawiona w wersjach 4.7.19, 5.5.6 i 6.0.1.
Ocena ryzyka
Atakujący może nieautoryzowanie rezerwować terminy w kalendarzach innych użytkowników, co może prowadzić do zakłóceń w harmonogramie lub nadużyć.
Rekomendacja
Zaktualizuj aplikację Nextcloud Calendar do wersji 4.7.19, 5.5.6, 6.0.1 lub nowszej.
Inne podatności w Nextcloud Calendar
Zobacz wszystkie- CVE-2025-66550Średnie
Aplikacja Nextcloud Calendar przed wersjami 4.7.17 i 5.2.4 pozwala złośliwemu użytkownikowi utworzyć wydarzenie z załącznikiem wskazującym na link do pliku na tym samym serwerze Nextcloud. Plik jest pobierany bez potwierdzenia akcji przez użytkownika.
- CVE-2025-66511Średnie
Aplikacja Nextcloud Calendar przed wersją 6.0.3 generuje tokeny uczestników propozycji spotkań przy użyciu funkcji skrótu, co pozwala atakującemu obliczyć prawidłowe tokeny. Dzięki temu atakujący może uzyskać szczegóły i zgłaszać terminy w propozycjach spotkań. Tokeny nie są generowane w sposób w pełni losowy.
Oryginalny opis (angielski, źródło NVD)
Nextcloud Calendar is a calendar app for Nextcloud. Prior to 4.7.19, 5.5.6, and 6.0.1, the calendar app allowed blindly booking appointments with a squential ID without known the appointment token. This vulnerability is fixed in 4.7.19, 5.5.6, and 6.0.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS