CVE-2025-66553

W aplikacji Nextcloud Tables (wersje od 0.9.0 do 0.9.7 oraz od 1.0.0 do 1.0.2) brak sanityzacji danych umożliwia użytkownikowi z dostępem do aplikacji przeprowadzenie ograniczonej iniekcji SQL w klauzuli ORDER BY, co pozwala na ekstrakcję pojedynczego bitu informacji na żądanie lub opóźnienie bazy danych.

Nextcloud Tables od wersji 0.8.0 do przed 1.0.4 ujawnia kryteria filtrowania widoku użytkownikom z uprawnieniami tylko do odczytu. Podatność została załatana w wersjach 1.0.4 i 2.0.0.

Nextcloud Tables przed wersjami 0.8.6 i 0.9.3 umożliwia złośliwemu użytkownikowi utworzenie własnej tabeli, a następnie przeniesienie kolumny do tabeli ofiary. Podatność została naprawiona w wersjach 0.8.6 i 0.9.3.

Nextcloud Tables przed wersjami 0.8.9, 0.9.6 i 1.0.1 nie ograniczał informacji o tym, który stół (numeryczne ID) jest udostępniany którym grupom lub użytkownikom oraz odpowiednich uprawnień wyłącznie do uprzywilejowanych użytkowników. Podatność została naprawiona w wersjach 0.8.9, 0.9.6 i 1.0.1.

Nextcloud Tables umożliwia tworzenie własnych tabel z indywidualnymi kolumnami. Przed wersjami 0.7.6, 0.8.8 i 0.9.5, podczas importu tabeli użytkownik mógł wskazać pliki na serwerze, a jeśli ich format był obsługiwany przez bibliotekę PhpSpreadsheet, były one dołączane, a ich zawartość ujawniana użytkownikowi.