CVE-2026-45285
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W Nextcloud Server przed wersjami 32.0.9 i 33.0.3, udostępnienie folderu lub pliku zespołowi Nextcloud zawierającemu członka zewnętrznego (dodanego przez e-mail) powoduje automatyczne utworzenie publicznego linku, który nie jest widoczny dla właściciela i nie może być przez niego odwołany. Link daje pełne uprawnienia (odczyt, zapis, usuwanie, ponowne udostępnianie, pobieranie).
Ocena ryzyka
Nieświadome utworzenie publicznego linku może prowadzić do nieautoryzowanego dostępu do danych, ich modyfikacji lub wycieku, bez wiedzy właściciela.
Rekomendacja
Zaleca się aktualizację Nextcloud Server do wersji 33.0.3 lub 32.0.9, które usuwają tę podatność.
Inne podatności w Nextcloud Server
Zobacz wszystkie- CVE-2026-45810Średnie
Nextcloud Server przed wersjami 31.0.12 i 32.0.3 zawiera lukę, która pozwala uwierzytelnionym użytkownikom z dostępem do dowolnego komentarza pliku na odczyt treści wszystkich komentarzy. Brakuje sprawdzenia relacji.
- CVE-2026-45691Średnie
W Nextcloud Server przed wersjami 32.0.9 i 33.0.3, pre-2FA ciasteczko sesyjne (utworzone po poprawnym haśle, ale przed TOTP) może być użyte jako token Bearer do uwierzytelnienia w DAV, omijając obowiązkowe uwierzytelnianie dwuskładnikowe.
- CVE-2026-45690Średnie
W Nextcloud Server przed wersjami 32.0.9 i 33.0.3, atakujący znający hasło użytkownika może ominąć uwierzytelnianie dwuskładnikowe (2FA) poprzez przechwycenie tymczasowego tokena sesyjnego i użycie go z HTTP Basic Authentication.
- CVE-2026-45283Średnie
Nextcloud Server w wersjach od 32.0.0 do przed 32.0.2 oraz od 33.0.0 do przed 33.0.1 zawiera podatność w aplikacji files_lock, która nieprawidłowo weryfikowała własność plików podczas przetwarzania żądań DAV lock i unlock. Uwierzytelniony użytkownik mógł blokować lub odblokowywać pliki należące do innych użytkowników, celując w ich bezwzględne ścieżki WebDAV. Ponadto tokeny blokad były ujawniane nieupoważnionym osobom w odpowiedziach błędów, umożliwiając atakującym usuwanie blokad opartych na tokenach ustawionych przez aplikacje klienckie innych użytkowników. Zalecana jest aktualizacja do wersji 32.0.2 lub 33.0.1 (dla Nextcloud Server) oraz do 31.0.14.4, 32.0.2 lub 33.0.1 (dla Nextcloud Enterprise Server).
- CVE-2026-45282Średnie
W Nextcloud Server przed wersjami 32.0.9 i 33.0.3, uwierzytelniony atakujący może uzyskać dostęp do załączników udostępnionych linków, znając token udostępnienia, omijając ochronę hasłem lub ograniczenia pobierania. Dotyczy to plików udostępnionych bezpośrednio, a dla folderów wymaga znajomości identyfikatora dokumentu.
- CVE-2026-45281Wysokie
W Nextcloud Server (wersje 32.0.0-32.0.8 oraz 33.0.0-33.0.2) wykryto podatność związaną z nieprawidłową autoryzacją w backendzie kalendarza. Uwierzytelniony atakujący, znając principal URL innego użytkownika, może uzyskać pełny dostęp do jego kalendarza – odczyt i modyfikację.
- CVE-2026-45279Średnie
W Nextcloud Server od wersji 31.0.0 do 31.0.14 oraz od 32.0.0 do 32.0.4, jeśli w konfiguracji katalogu szablonów użyto {lang}, niebędący administratorami użytkownicy mogą w niektórych przypadkach kopiować dowolne pliki (w zależności od uprawnień uniksowych) do swojego katalogu Nextcloud poprzez przechodzenie poza katalog.
- CVE-2026-45157Średnie
Nextcloud Server zawiera podatność, która pozwala złośliwemu użytkownikowi posiadającemu dostęp do udostępnionego pliku na wykorzystanie tokena udostępniania do bezpośredniego dostępu do przesyłania fragmentarycznego i podglądu tymczasowych plików częściowych podczas trwających przesyłań. Problem dotyczy wersji od 32.0.0 do 32.0.8 oraz od 33.0.0 do 33.0.2.
- CVE-2023-39963Wysokie
Nextcloud Server ma lukę, która pozwala atakującemu na tworzenie haseł aplikacji dla ofiary po przejęciu sesji użytkownika. Problem dotyczy wersji od 20.0.0 do 20.0.14.15, 21.0.9.13, 22.2.10.14, 23.0.12.8, 24.0.12.5, 25.0.9, 26.0.4 i 27.0.1.
- CVE-2023-39962Wysokie
Nextcloud Server, platforma chmurowa typu open source, ma podatność, która pozwala złośliwemu użytkownikowi na usunięcie osobistego lub globalnego zewnętrznego magazynu danych, co czyni go niedostępnym dla innych użytkowników. Problem dotyczy wersji od 19.0.0 do 19.0.13.10, 20.0.14.15, 21.0.9.13, 22.2.10.14, 23.0.12.8, 24.0.12.5, 25.0.9, 26.0.4 oraz 27.0.1.
Oryginalny opis (angielski, źródło NVD)
Nextcloud is an open source content collaboration platform. From versions 32.0.0 to before 32.0.9, and 33.0.0 to before 33.0.3, when a user shares a folder or file with a Nextcloud Team that includes an external member (a person added via email address who does not have a Nextcloud account), the system automatically creates a public link for that external member. This public link is not displayed in the share section of the folder, so the folder owner has no knowledge of its existence. It is sent via email to the external member. It grants the same permissions (read, write, delete, reshare, download) as the Team’s access. An attacker who receives or intercepts this link can access, modify, delete, reshare, and download all data in the shared folder without any further authentication. The folder owner cannot see or revoke the link through the normal sharing interface. This issue has been patched in versions 32.0.9 and 33.0.3.