Spätná väzba k reportu

Neautentizovanému vzdialenému útočníkovi je v Nextcloud Mail umožnené pristupovať k citlivým údajom, vydávaním sa za autokonfiguračný server obete, čo môže viesť k ovládnutiu jeho e-mailového účtu [1]

Zraniteľnosť sa nachádza v produkte:

• Nextcloud Mail; >= 1.9.0, < 1.14.6; >= 2.1.0, < 2.2.11; >= 3.1.0, < 3.6.3; >= 1.15.0, < 1.15.4; >= 3.7.0, < 3.7.7;

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:L

Viac informácií:

• CVE-2024-52508 na cve.org, NVD
• CWE-200: Exposure of Sensitive Information to an Unauthorized Actor na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 15. 11. 2024.

Autentizovanému vzdialenému útočníkovi je v Nextcloud Tables umožnené pridávať riadky do tabuliek, do ktorých nemá oprávnenie pristupovať [6].

Zraniteľnosť sa nachádza v produkte:

• Nextcloud Tables; >= 0.6.0, < 0.8.0;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:H/A:N

Viac informácií:

• CVE-2024-52511 na cve.org, NVD
• CWE-639: Authorization Bypass Through User-Controlled Key na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 15. 11. 2024.

Autentizovanému vzdialenému útočníkovi je v Nextcloud (Enterprise) Server umožnené nahratím špeciálne vytvoreného SVG súboru zobrazovať náhľad SVG súborov, ku ktorým nemá patričné oprávnenia [7].

Zraniteľnosť sa nachádza v produkte:

• Nextcloud Server; >= 29.0.0, < 29.0.1; >= 28.0.0, < 28.0.6; >= 27.0.0, < 27.1.10;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:N/A:N

Viac informácií:

• CVE-2024-52515 na cve.org, NVD
• CWE-706: Use of Incorrectly-Resolved Name or Reference na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 15. 11. 2024.

Autentizovanému vzdialenému útočníkovi je v Nextcloud (Enterprise) Server umožnené vykonať DoS útok vytvorením náhľadu na špeciálne vytvorenú web stránku [8].

Zraniteľnosť sa nachádza v produktoch:

• Nextloud Server; >= 28.0.0, < 28.0.10; >= 29.0.0, < 29.0.7;
• Nextloud Enterprise Server; >= 27.0.0, < 27.1.11.8; >= 28.0.0, < 28.0.10; >= 29.0.0, < 29.0.7;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:N/A:H

Viac informácií:

• CVE-2024-52520 na cve.org, NVD
• CWE-400: Uncontrolled Resource Consumption na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 15. 11. 2024.

Autentizovanému vzdialenému útočníkovi je v Nextcloud Desktop Client umožnené obísť validáciu podpisu zaslaním špeciálne vytvorenej požiadavky z Nextcloud Server [4].

Zraniteľnosť sa nachádza v produkte:

• Nextcloud Desktop Client; >= 3.0.0, < 3.14.2;

CVSS: CVSS:3.1/AV:N/AC:H/PR:H/UI:R/S:U/C:H/I:N/A:N

Viac informácií:

• CVE-2024-52510 na cve.org, NVD
• CWE-295: Improper Certificate Validation na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 15. 11. 2024.

Neautentizovanému vzdialenému útočníkovi je v Nextcloud User OIDC pomocou sociálneho inžinierstva umožnené donútiť obeť zobraziť URL, ktorá ho po prihlásení v Nextcloud OIDC presmeruje na útočníkom ovládanú web stránku [5].

Zraniteľnosť sa nachádza v produkte:

• Nextcloud User OIDC; >= 6.0.0, < 6.1.0;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Viac informácií:

• CVE-2024-52512 na cve.org, NVD
• CWE-601: URL Redirection to Untrusted Site ('Open Redirect') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 15. 11. 2024.