CVE-2023-26482

2023. április 3. 10:38

Nextcloud Server sérülékenysége
Angol cím: Nextcloud Server vulnerability

Publikálás dátuma: 2023.03.30.
Utolsó módosítás dátuma: 2023.03.31.

Leírás

Operációs rendszer parancs injektálás: A program nem, vagy helytelenül semlegesíti azokat az elemeket a bemenetből, melyek módosíthatják a tervezett operációs rendszer parancsot, amikor azt a következő komponensnek küldi.

Leírás forrása: CWE-78

Elemzés leírás

Eredeti nyelven: Nextcloud server is an open source home cloud implementation. In affected versions a missing scope validation allowed users to create workflows which are designed to be only available for administrators. Some workflows are designed to be RCE by invoking defined scripts, in order to generate PDFs, invoking webhooks or running scripts on the server. Due to this combination depending on the available apps the issue can result in a RCE at the end. It is recommended that the Nextcloud Server is upgraded to 24.0.10 or 25.0.4. Users unable to upgrade should disable app `workflow_scripts` and `workflow_pdf_converter` as a mitigation.

Elemzés leírás forrása: CVE-2023-26482

Hatás

CVSS3.1 Súlyosság és Metrika

Alap pontszám: 9 (Kritikus)
Vektor: AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H
Hatás pontszáma: 6
Kihasználhatóság pontszáma: 2.3

Támadás Vektora (AV): Hálózat
Támadás komplexitása (AC): Alacsony
Jogosultság Szükséges (PR): Alacsony
Felhasználói Interakció (UI): Szükséges
Hatókör (S): Változott
Bizalmasság Hatása (C): Magas
Sértetlenség Hatása (I): Magas
Rendelkezésre állás Hatása (A): Magas