CVE-2026-45283
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Nextcloud Server w wersjach od 32.0.0 do przed 32.0.2 oraz od 33.0.0 do przed 33.0.1 zawiera podatność w aplikacji files_lock, która nieprawidłowo weryfikowała własność plików podczas przetwarzania żądań DAV lock i unlock. Uwierzytelniony użytkownik mógł blokować lub odblokowywać pliki należące do innych użytkowników, celując w ich bezwzględne ścieżki WebDAV. Ponadto tokeny blokad były ujawniane nieupoważnionym osobom w odpowiedziach błędów, umożliwiając atakującym usuwanie blokad opartych na tokenach ustawionych przez aplikacje klienckie innych użytkowników. Zalecana jest aktualizacja do wersji 32.0.2 lub 33.0.1 (dla Nextcloud Server) oraz do 31.0.14.4, 32.0.2 lub 33.0.1 (dla Nextcloud Enterprise Server).
Ocena ryzyka
Ryzyko polega na tym, że uwierzytelniony atakujący może blokować pliki innych użytkowników, uniemożliwiając im dostęp, lub odblokowywać pliki, co może prowadzić do konfliktów edycji i potencjalnego naruszenia integralności danych.
Rekomendacja
Zaleca się natychmiastową aktualizację Nextcloud Server do wersji 32.0.2 lub 33.0.1, a Nextcloud Enterprise Server do wersji 31.0.14.4, 32.0.2 lub 33.0.1.
Inne podatności w Nextcloud Server
Zobacz wszystkie- CVE-2026-45810Średnie
Nextcloud Server przed wersjami 31.0.12 i 32.0.3 zawiera lukę, która pozwala uwierzytelnionym użytkownikom z dostępem do dowolnego komentarza pliku na odczyt treści wszystkich komentarzy. Brakuje sprawdzenia relacji.
- CVE-2026-45691Średnie
W Nextcloud Server przed wersjami 32.0.9 i 33.0.3, pre-2FA ciasteczko sesyjne (utworzone po poprawnym haśle, ale przed TOTP) może być użyte jako token Bearer do uwierzytelnienia w DAV, omijając obowiązkowe uwierzytelnianie dwuskładnikowe.
- CVE-2026-45690Średnie
W Nextcloud Server przed wersjami 32.0.9 i 33.0.3, atakujący znający hasło użytkownika może ominąć uwierzytelnianie dwuskładnikowe (2FA) poprzez przechwycenie tymczasowego tokena sesyjnego i użycie go z HTTP Basic Authentication.
- CVE-2026-45285Średnie
W Nextcloud Server przed wersjami 32.0.9 i 33.0.3, udostępnienie folderu lub pliku zespołowi Nextcloud zawierającemu członka zewnętrznego (dodanego przez e-mail) powoduje automatyczne utworzenie publicznego linku, który nie jest widoczny dla właściciela i nie może być przez niego odwołany. Link daje pełne uprawnienia (odczyt, zapis, usuwanie, ponowne udostępnianie, pobieranie).
- CVE-2026-45282Średnie
W Nextcloud Server przed wersjami 32.0.9 i 33.0.3, uwierzytelniony atakujący może uzyskać dostęp do załączników udostępnionych linków, znając token udostępnienia, omijając ochronę hasłem lub ograniczenia pobierania. Dotyczy to plików udostępnionych bezpośrednio, a dla folderów wymaga znajomości identyfikatora dokumentu.
- CVE-2026-45281Wysokie
W Nextcloud Server (wersje 32.0.0-32.0.8 oraz 33.0.0-33.0.2) wykryto podatność związaną z nieprawidłową autoryzacją w backendzie kalendarza. Uwierzytelniony atakujący, znając principal URL innego użytkownika, może uzyskać pełny dostęp do jego kalendarza – odczyt i modyfikację.
- CVE-2026-45279Średnie
W Nextcloud Server od wersji 31.0.0 do 31.0.14 oraz od 32.0.0 do 32.0.4, jeśli w konfiguracji katalogu szablonów użyto {lang}, niebędący administratorami użytkownicy mogą w niektórych przypadkach kopiować dowolne pliki (w zależności od uprawnień uniksowych) do swojego katalogu Nextcloud poprzez przechodzenie poza katalog.
- CVE-2026-45157Średnie
Nextcloud Server zawiera podatność, która pozwala złośliwemu użytkownikowi posiadającemu dostęp do udostępnionego pliku na wykorzystanie tokena udostępniania do bezpośredniego dostępu do przesyłania fragmentarycznego i podglądu tymczasowych plików częściowych podczas trwających przesyłań. Problem dotyczy wersji od 32.0.0 do 32.0.8 oraz od 33.0.0 do 33.0.2.
- CVE-2023-39963Wysokie
Nextcloud Server ma lukę, która pozwala atakującemu na tworzenie haseł aplikacji dla ofiary po przejęciu sesji użytkownika. Problem dotyczy wersji od 20.0.0 do 20.0.14.15, 21.0.9.13, 22.2.10.14, 23.0.12.8, 24.0.12.5, 25.0.9, 26.0.4 i 27.0.1.
- CVE-2023-39962Wysokie
Nextcloud Server, platforma chmurowa typu open source, ma podatność, która pozwala złośliwemu użytkownikowi na usunięcie osobistego lub globalnego zewnętrznego magazynu danych, co czyni go niedostępnym dla innych użytkowników. Problem dotyczy wersji od 19.0.0 do 19.0.13.10, 20.0.14.15, 21.0.9.13, 22.2.10.14, 23.0.12.8, 24.0.12.5, 25.0.9, 26.0.4 oraz 27.0.1.
Oryginalny opis (angielski, źródło NVD)
Nextcloud is an open source content collaboration platform. In Nextcloud Server from versions 32.0.0 to before 32.0.2, and 33.0.0 to before 33.0.1, the files_lock app did not properly validate the ownership of files when processing DAV lock and unlock requests. An authenticated user could lock or unlock files belonging to other users by targeting their absolute WebDAV paths. Additionally, lock tokens were disclosed to unauthorized callers in error responses, allowing attackers to remove token-based locks placed by other users' client applications. It is recommended that the Nextcloud Server is upgraded to 32.0.2 or 33.0.1. It is recommended that the Nextcloud Enterprise Server is upgraded to 31.0.14.4 or 32.0.2 or 33.0.1