Nextcloud Server users can modify tags on files that do not belong to them

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• nextcloud nextcloud server31.0.0 и новее · до 31.0.1

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (GitHub_M). Не зависят от анализа CPE в NVD и обычно опережают его.

• nextcloud security-advisories

  • < 31.0.1затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2021-32802Preview generation used third-party library not suited for user-generated content in Nextcloud server
  40В плане
• CVE-2021-32726Webauthn tokens not removed after user has been deleted
  40В плане
• CVE-2021-22915Nextcloud server before 19.0.11, 20.0.10, 21.0.2 is vulnerable to brute force attacks due to lack of inclusion of IPv6 subnets in rate-limit
  40В плане
• CVE-2023-49792Bruteforce protection can be bypassed with misconfigured proxy
  39Наблюдать
• CVE-2023-48306Nextcloud Server DNS pin middleware can be tricked into DNS rebinding allowing SSRF
  39Наблюдать
• CVE-2021-32654Attacker can obtain write access to any federated share/public link
  37Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.