Zpětná vazba k reportu

Neautentizovanému vzdialenému útočníkovi je v Nextcloud Mail umožnené pristupovať k citlivým údajom, vydávaním sa za autokonfiguračný server obete, čo môže viesť k ovládnutiu jeho e-mailového účtu [1]

Zraniteľnosť sa nachádza v produkte Nextcloud Mail vo verziách (>= 1.9.0 AND < 1.14.6) OR (>= 2.1.0 AND < 2.2.11) OR (>= 3.1.0 AND < 3.6.3) OR (>= 1.15.0 AND < 1.15.4) OR (>= 3.7.0 AND < 3.7.7).

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:L

Viac informácií:

• CVE-2024-52508 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
• CWE-200: Exposure of Sensitive Information to an Unauthorized Actor at cwe.mitre.org

Zraniteľnosť bola verejne oznámená 15. 11. 2024.

Autentizovanému vzdialenému útočníkovi je v Nextcloud Tables umožnené pridávať riadky do tabuliek, do ktorých nemá oprávnenie pristupovať [2].

Zraniteľnosť sa nachádza v produkte Nextcloud Tables vo verziách >= 0.6.0 AND < 0.8.0.

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:H/A:N

Viac informácií:

• CVE-2024-52511 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
• CWE-639: Authorization Bypass Through User-Controlled Key at cwe.mitre.org

Zraniteľnosť bola verejne oznámená 15. 11. 2024.

Autentizovanému vzdialenému útočníkovi je v Nextcloud (Enterprise) Server umožnené nahratím špeciálne vytvoreného SVG súboru zobrazovať náhľad SVG súborov, ku ktorým nemá patričné oprávnenia [3].

Zraniteľnosť sa nachádza v produkte Nextcloud Server vo verziách (>= 29.0.0 AND < 29.0.1) OR (>= 28.0.0 AND < 28.0.6) OR (>= 27.0.0 AND < 27.1.10).

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:N/A:N

Viac informácií:

• CVE-2024-52515 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
• CWE-706: Use of Incorrectly-Resolved Name or Reference at cwe.mitre.org

Zraniteľnosť bola verejne oznámená 15. 11. 2024.

Autentizovanému vzdialenému útočníkovi je v Nextcloud (Enterprise) Server umožnené vykonať DoS útok vytvorením náhľadu na špeciálne vytvorenú web stránku [4].

Zraniteľnosť sa nachádza v produktoch:

• Nextloud Server vo verziách (>= 28.0.0 AND < 28.0.10) OR (>= 29.0.0 AND < 29.0.7)
• Nextloud Enterprise Server vo verziách (>= 27.0.0 AND < 27.1.11.8) OR (>= 28.0.0 AND < 28.0.10) OR (>= 29.0.0 AND < 29.0.7)

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:N/A:H

Viac informácií:

• CVE-2024-52520 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
• CWE-400: Uncontrolled Resource Consumption at cwe.mitre.org

Zraniteľnosť bola verejne oznámená 15. 11. 2024.

Autentizovanému vzdialenému útočníkovi je v Nextcloud Desktop Client umožnené obísť validáciu podpisu zaslaním špeciálne vytvorenej požiadavky z Nextcloud Server [5].

Zraniteľnosť sa nachádza v produkte Nextcloud Desktop Client vo verziách >= 3.0.0 AND < 3.14.2.

CVSS: CVSS:3.1/AV:N/AC:H/PR:H/UI:R/S:U/C:H/I:N/A:N

Viac informácií:

• CVE-2024-52510 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
• CWE-295: Improper Certificate Validation at cwe.mitre.org

Zraniteľnosť bola verejne oznámená 15. 11. 2024.

Neautentizovanému vzdialenému útočníkovi je v Nextcloud User OIDC pomocou sociálneho inžinierstva umožnené donútiť obeť zobraziť URL, ktorá ho po prihlásení v Nextcloud OIDC presmeruje na útočníkom ovládanú web stránku [6].

Zraniteľnosť sa nachádza v produkte Nextcloud User OIDC vo verziách >= 6.0.0 AND < 6.1.0.

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Viac informácií:

• CVE-2024-52512 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
• CWE-601: URL Redirection to Untrusted Site ('Open Redirect') at cwe.mitre.org

Zraniteľnosť bola verejne oznámená 15. 11. 2024.