CVE-2025-66550
ŚrednieCVSS 5.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Aplikacja Nextcloud Calendar przed wersjami 4.7.17 i 5.2.4 pozwala złośliwemu użytkownikowi utworzyć wydarzenie z załącznikiem wskazującym na link do pliku na tym samym serwerze Nextcloud. Plik jest pobierany bez potwierdzenia akcji przez użytkownika.
Ocena ryzyka
Atakujący może zmusić użytkownika do nieświadomego pobrania plików z serwera, co może prowadzić do wycieku danych lub dalszych ataków. Ryzyko dotyczy organizacji korzystających z Nextcloud Calendar w wersjach podatnych.
Rekomendacja
Zaktualizuj Nextcloud Calendar do wersji 4.7.17 lub 5.2.4 (lub nowszej). Sprawdź, czy użytkownicy nie mają zainstalowanych podatnych wersji.
Inne podatności w Nextcloud Calendar
Zobacz wszystkie- CVE-2025-66546Niskie
Nextcloud Calendar to aplikacja kalendarza dla Nextcloud. W wersjach przed 4.7.19, 5.5.6 i 6.0.1 aplikacja pozwalała na rezerwację spotkań przy użyciu sekwencyjnego identyfikatora bez znajomości tokenu rezerwacji. Podatność została naprawiona w wersjach 4.7.19, 5.5.6 i 6.0.1.
- CVE-2025-66511Średnie
Aplikacja Nextcloud Calendar przed wersją 6.0.3 generuje tokeny uczestników propozycji spotkań przy użyciu funkcji skrótu, co pozwala atakującemu obliczyć prawidłowe tokeny. Dzięki temu atakujący może uzyskać szczegóły i zgłaszać terminy w propozycjach spotkań. Tokeny nie są generowane w sposób w pełni losowy.
Oryginalny opis (angielski, źródło NVD)
Nextcloud Calendar is a calendar app for Nextcloud. Prior to 4.7.17 and 5.2.4, when a malicious user creates a calendar event with a crafted attachment that links to a download link of a file on the same Nextcloud server, the file would be downloaded without the user confirming the action. This vulnerability is fixed in 4.7.17 and 5.2.4.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS