CVE-2025-66552

Nextcloud Server przed wersjami 31.0.12 i 32.0.3 zawiera lukę, która pozwala uwierzytelnionym użytkownikom z dostępem do dowolnego komentarza pliku na odczyt treści wszystkich komentarzy. Brakuje sprawdzenia relacji.

W Nextcloud Server przed wersjami 32.0.9 i 33.0.3, pre-2FA ciasteczko sesyjne (utworzone po poprawnym haśle, ale przed TOTP) może być użyte jako token Bearer do uwierzytelnienia w DAV, omijając obowiązkowe uwierzytelnianie dwuskładnikowe.

W Nextcloud Server przed wersjami 32.0.9 i 33.0.3, atakujący znający hasło użytkownika może ominąć uwierzytelnianie dwuskładnikowe (2FA) poprzez przechwycenie tymczasowego tokena sesyjnego i użycie go z HTTP Basic Authentication.

W Nextcloud Server przed wersjami 32.0.9 i 33.0.3, udostępnienie folderu lub pliku zespołowi Nextcloud zawierającemu członka zewnętrznego (dodanego przez e-mail) powoduje automatyczne utworzenie publicznego linku, który nie jest widoczny dla właściciela i nie może być przez niego odwołany. Link daje pełne uprawnienia (odczyt, zapis, usuwanie, ponowne udostępnianie, pobieranie).

Nextcloud Server w wersjach od 32.0.0 do przed 32.0.2 oraz od 33.0.0 do przed 33.0.1 zawiera podatność w aplikacji files_lock, która nieprawidłowo weryfikowała własność plików podczas przetwarzania żądań DAV lock i unlock. Uwierzytelniony użytkownik mógł blokować lub odblokowywać pliki należące do innych użytkowników, celując w ich bezwzględne ścieżki WebDAV. Ponadto tokeny blokad były ujawniane nieupoważnionym osobom w odpowiedziach błędów, umożliwiając atakującym usuwanie blokad opartych na tokenach ustawionych przez aplikacje klienckie innych użytkowników. Zalecana jest aktualizacja do wersji 32.0.2 lub 33.0.1 (dla Nextcloud Server) oraz do 31.0.14.4, 32.0.2 lub 33.0.1 (dla Nextcloud Enterprise Server).

W Nextcloud Server przed wersjami 32.0.9 i 33.0.3, uwierzytelniony atakujący może uzyskać dostęp do załączników udostępnionych linków, znając token udostępnienia, omijając ochronę hasłem lub ograniczenia pobierania. Dotyczy to plików udostępnionych bezpośrednio, a dla folderów wymaga znajomości identyfikatora dokumentu.

W Nextcloud Server (wersje 32.0.0-32.0.8 oraz 33.0.0-33.0.2) wykryto podatność związaną z nieprawidłową autoryzacją w backendzie kalendarza. Uwierzytelniony atakujący, znając principal URL innego użytkownika, może uzyskać pełny dostęp do jego kalendarza – odczyt i modyfikację.

W Nextcloud Server od wersji 31.0.0 do 31.0.14 oraz od 32.0.0 do 32.0.4, jeśli w konfiguracji katalogu szablonów użyto {lang}, niebędący administratorami użytkownicy mogą w niektórych przypadkach kopiować dowolne pliki (w zależności od uprawnień uniksowych) do swojego katalogu Nextcloud poprzez przechodzenie poza katalog.

Nextcloud Server zawiera podatność, która pozwala złośliwemu użytkownikowi posiadającemu dostęp do udostępnionego pliku na wykorzystanie tokena udostępniania do bezpośredniego dostępu do przesyłania fragmentarycznego i podglądu tymczasowych plików częściowych podczas trwających przesyłań. Problem dotyczy wersji od 32.0.0 do 32.0.8 oraz od 33.0.0 do 33.0.2.

Nextcloud Server 30.0.0 jest podatny na Insecure Direct Object Reference (IDOR) w punkcie końcowym /core/preview. Każdy uwierzytelniony użytkownik może uzyskać dostęp do podglądów dowolnych plików należących do innych użytkowników, manipulując parametrem fileId. Pozwala to na nieautoryzowane ujawnienie wrażliwych danych, takich jak pliki tekstowe lub obrazy, bez wcześniejszych uprawnień do udostępniania.