Programa: nextcloud
11 reportes publicados, del más reciente al más antiguo.
Nextcloud Deck: la API de configuración acepta preferencias de tableros ajenos sin comprobar permisos
El endpoint de configuración de Deck guardaba claves del tipo board:<id>:<clave> para cualquier ID de tablero, sin verificar que el usuario tuviera acceso a ese tablero.
2 min
Nextcloud Approval: quitar el parámetro etag permite aprobar un fichero modificado después de revisarlo
La app Approval solo comprobaba que el fichero no había cambiado desde la revisión si la petición incluía el etag. Omitiéndolo, se podía aprobar o rechazar una versión distinta a la revisada.
3 min
Nextcloud Team Folders: un administrador delegado "solo API" podía darse acceso a cualquier carpeta de equipo
El endpoint que añade grupos a una Team Folder no comprobaba si el administrador delegado podía gestionar esa carpeta concreta. Con IDs secuenciales, se podía asignar un grupo propio a todas las carpetas de la instancia.
4 min
Nextcloud Photos: los álbumes inteligentes compartidos buscaban con las carpetas de origen del visitante, no del dueño
Al abrir un álbum inteligente ajeno, Photos filtraba los ficheros del propietario con la configuración photosSourceFolders del usuario que lo visitaba, lo que podía exponer ficheros de carpetas que el dueño no había elegido.
5 min
Nextcloud files_lock: un colaborador con permiso de escritura podía bloquear para siempre un fichero ajeno
Un bloqueo de tipo TYPE_TOKEN colocado por quien tenía el fichero compartido no caducaba, el dueño no podía quitarlo y sobrevivía a la revocación del recurso compartido y al borrado de la cuenta. Solo se arreglaba tocando la base de datos.
4 min
Nextcloud Collectives: un "emoji" de página con texto largo y saltos de línea bloqueaba la barra lateral
El endpoint que cambia el emoji de una página de Collectives aceptaba cualquier cadena. Un texto largo con saltos de línea deformaba la barra lateral y tapaba el acceso a las demás páginas.
2 min
Nextcloud Mail: el autocompletado de contactos se salta las restricciones de enumeración de usuarios
El autocompletado de contactos de Nextcloud Mail ignoraba la opción que limita la búsqueda de cuentas al propio grupo, y cualquier usuario autenticado podía listar ID, nombre y email de usuarios de otros grupos.
2 min
IDOR en Nextcloud Circles: cualquier usuario podía consultar la membresía de cualquier círculo
El endpoint link de la app Circles de Nextcloud no comprobaba autorización, así que cualquier usuario autenticado podía leer la membresía de cualquier círculo y usuario conociendo sus IDs.
4 min
Nextcloud Collectives: un enlace público permitía crear páginas aunque la edición estuviera limitada a administradores
La API de creación de páginas de Nextcloud Collectives no aplicaba la restricción «Allow editing for = Admins only», así que quien entraba por un enlace público de edición podía crear páginas llamando al endpoint directamente.
2 min
Roundcube: inyección de cabeceras SMTP persistente a través del campo "organización" de la identidad
El campo organization de las identidades de Roundcube se guardaba sin quitar saltos de línea y se copiaba tal cual a la cabecera Organization, lo que permitía añadir cabeceras como Bcc o From a todos los correos enviados.
3 min
Nextcloud files_lock: bloquear y desbloquear ficheros de otros usuarios usando su ruta WebDAV absoluta
El plugin DAV de files_lock abría el fichero del usuario indicado en la URL sin compararlo con el usuario autenticado, y además devolvía el token de bloqueo a quien no estaba autorizado.
5 min