Nextcloud Deck vulnerable to authorization bypass

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• nextcloud deckдо 1.6.5
• nextcloud deck1.7.0 и новее · до 1.7.3
• nextcloud deck1.8.0 и новее · до 1.8.2

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (GitHub_M). Не зависят от анализа CPE в NVD и обычно опережают его.

• nextcloud security-advisories

  • >= 1.60, < 1.6.5, >= 1.7.0, < 1.7.3, >= 1.8.0, < 1.8.2затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2021-39225Missing permission check on Deck API
  32Наблюдать
• CVE-2020-8182Improper access control in Nextcloud Deck 0.8.0 allowed an attacker to reshare boards shared with them with more permissions than they had t
  32Наблюдать
• CVE-2023-22470Nextcloud Deck vulnerable to uncontrolled resource consumption
  26Наблюдать
• CVE-2021-37631Circle can be accessed by non-Circle members in Nextcloud Deck
  26Наблюдать
• CVE-2021-22913Nextcloud Deck before 1.2.7, 1.4.1 suffers from an information disclosure vulnerability when searches for sharees utilize the lookup server
  26Наблюдать
• CVE-2025-66548Nextcloud Deck app allows to spoof file extensions by using RTLO characters
  22Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.