Zpětná vazba k reportu

Neautentizovanému vzdálenému útočníkovi je v Nextcloud Mail umožněno přistupovat k citlivým údajům vydáváním se za autokonfigurační server oběti, což může vést k ovládnutí jejího e-mailového účtu [1]

Zranitelnost se nachází v produktu:

• Nextcloud Mail; >= 1.9.0, < 1.14.6; >= 2.1.0, < 2.2.11; >= 3.1.0, < 3.6.3; >= 1.15.0, < 1.15.4; >= 3.7.0, < 3.7.7;

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:L

Více informací:

• CVE-2024-52508 na cve.org, NVD
• CWE-200: Exposure of Sensitive Information to an Unauthorized Actor na cwe.mitre.org

Zranitelnost byla veřejně oznámena 15. 11. 2024.

Autentizovanému vzdálenému útočníkovi je v Nextcloud Tables umožněno přidávat řádky do tabulek, ke kterým nemá oprávnění přistupovat [6].

Zranitelnost se nachází v produktu:

• Nextcloud Tables; >= 0.6.0, < 0.8.0;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:H/A:N

Více informací:

• CVE-2024-52511 na cve.org, NVD
• CWE-639: Authorization Bypass Through User-Controlled Key na cwe.mitre.org

Zranitelnost byla veřejně oznámena 15. 11. 2024.

Autentizovanému vzdálenému útočníkovi je v Nextcloud (Enterprise) Server umožněno nahráním speciálně vytvořeného SVG souboru zobrazovat náhled SVG souborů, ke kterým nemá příslušná oprávnění [7].

Zranitelnost se nachází v produktu:

• Nextcloud Server; >= 29.0.0, < 29.0.1; >= 28.0.0, < 28.0.6; >= 27.0.0, < 27.1.10;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:N/A:N

Více informací:

• CVE-2024-52515 na cve.org, NVD
• CWE-706: Use of Incorrectly-Resolved Name or Reference na cwe.mitre.org

Zranitelnost byla veřejně oznámena 15. 11. 2024.

Autentizovanému vzdálenému útočníkovi je v Nextcloud (Enterprise) Server umožněno provést DoS útok vytvořením náhledu na speciálně vytvořenou webovou stránku [8].

Zranitelnost se nachází v produktech:

• Nextloud Server; >= 28.0.0, < 28.0.10; >= 29.0.0, < 29.0.7;
• Nextloud Enterprise Server; >= 27.0.0, < 27.1.11.8; >= 28.0.0, < 28.0.10; >= 29.0.0, < 29.0.7;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:N/A:H

Více informací:

• CVE-2024-52520 na cve.org, NVD
• CWE-400: Uncontrolled Resource Consumption na cwe.mitre.org

Zranitelnost byla veřejně oznámena 15. 11. 2024.

Autentizovanému vzdálenému útočníkovi je v Nextcloud Desktop Client umožněno obejít validaci podpisu zasláním speciálně vytvořeného požadavku z Nextcloud Server [4].

Zranitelnost se nachází v produktu:

• Nextcloud Desktop Client; >= 3.0.0, < 3.14.2;

CVSS: CVSS:3.1/AV:N/AC:H/PR:H/UI:R/S:U/C:H/I:N/A:N

Více informací:

• CVE-2024-52510 na cve.org, NVD
• CWE-295: Improper Certificate Validation na cwe.mitre.org

Zranitelnost byla veřejně oznámena 15. 11. 2024.

Neautentizovanému vzdálenému útočníkovi je v Nextcloud User OIDC pomocí sociálního inženýrství umožněno přinutit oběť zobrazit URL, která ji po přihlášení v Nextcloud OIDC přesměruje na útočníkem ovládanou webovou stránku [5].

Zranitelnost se nachází v produktu:

• Nextcloud User OIDC; >= 6.0.0, < 6.1.0;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Více informací:

• CVE-2024-52512 na cve.org, NVD
• CWE-601: URL Redirection to Untrusted Site ('Open Redirect') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 15. 11. 2024.