Nickvergessen

اسم البرنامج المعرض للثغرة والإصدارات المتأثرة: إصدارات خادم Nextcloud الأقدم من 29.0.15 و30.0.9 و31.0.3 إصدارات Nextcloud Enterprise Server الأقدم من 26.0.13.15 و27.1.11.15 و28.0.14.6 و29.0.15 و30.0.9 و31.0.3 الوصف: تتعلق المشكلة بخلل في إدارة الجلسة. عندما يكون الخادم مُهيأً بقيمة `remember login cookie lifetime` محددة بـ `0`، يتم تجاهل المصادقة الثنائية بعد تسجيل الدخول بنجاح باستخدام اسم المستخدم وكلمة المرور، بمجرد انتهاء صلاحية الجلسة في صفحة اختيار المصادقة الثنائية وإعادة تحميل الصفحة. التوصيات: بالنسبة لإصدارات خادم Nextcloud الأقدم من 29.0.15 و30.0.9 و31.0.3، قم بالتحديث إلى الإصدار 29.0.15 أو 30.0.9 أو 31.0.3. بالنسبة لإصدارات Nextcloud Enterprise Server الأقدم من 26.0.13.15 و27.1.11.15 و28.0.14.6 و29.0.15 و30.0.9 و31.0.3، قم بالتحديث إلى الإصدار 26.0. 13.15، 27.1.11.15، 28.0.14.6، 29.0.15، 30.0.9 أو 31.0.3. كحل مؤقت، قم بتعيين `remember login cookie lifetime` في ملف config.php على قيمة مختلفة عن `0`، على سبيل المثال، `900`. يمكن لمسؤولي النظام حذف الجلسات المتأثرة.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات خادم Nextcloud الأقدم من 30.0.2 إصدارات خادم Nextcloud الأقدم من 29.0.9 إصدارات خادم Nextcloud الأقدم من 28.0.1 إصدارات خادم Nextcloud Enterprise الأقدم من 30.0.2 إصدارات خادم Nextcloud Enterprise الأقدم من 29.0.9 إصدارات تطبيق Nextcloud Groupfolders الأقدم من 18.0.3 إصدارات تطبيق Nextcloud Groupfolders الأقدم من 17.0.5 إصدارات تطبيق Nextcloud Groupfolders الأقدم من 16.0.11 الوصف: تتعلق المشكلة بعدم وجود فحص لحصة التخزين للمرفقات في خادم Nextcloud وتطبيق Nextcloud Groupfolders، مما يسمح للمستخدمين المسجلين بتحميل ملفات تتجاوز حصة التخزين المخصصة لمجلد المجموعة. التوصيات: بالنسبة لإصدار خادم Nextcloud الأقدم من 30.0.2، قم بالتحديث إلى الإصدار 30.0.2 أو أحدث. بالنسبة لإصدار خادم Nextcloud الأقدم من 29.0.9، قم بالتحديث إلى الإصدار 29.0.9 أو أحدث. بالنسبة لإصدار خادم Nextcloud الأقدم من 28.0.1، قم بالتحديث إلى الإصدار 28.0.1 أو أحدث. بالنسبة لإصدار Nextcloud Enterprise Server الأقدم من 30.0.2، قم بالتحديث إلى الإصدار 30.0.2 أو أحدث. بالنسبة لإصدار Nextcloud Enterprise Server الأقدم من 29.0.9، قم بالتحديث إلى الإصدار 29.0.9 أو أحدث. بالنسبة لإصدار تطبيق Nextcloud Groupfolders الأقدم من 18.0.3، قم بالتحديث إلى الإصدار 18.0.3 أو أحدث. بالنسبة لإصدار تطبيق Nextcloud Groupfolders الأقدم من 17.0.5، قم بالتحديث إلى الإصدار 17.0.5 أو أحدث. بالنسبة لإصدار تطبيق Nextcloud Groupfolders الأقدم من 16.0.11، قم بالتحديث إلى الإصدار 16.0.11 أو أحدث.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات Nextcloud Desktop الأقدم من 3.15 الوصف: تؤثر هذه المشكلة على Nextcloud Desktop، حيث تسمح لتطبيقات الجهات الخارجية بإنشاء روابط مشاركة لجميع البيانات تقريبًا عبر واجهة برمجة تطبيقات (API) للمقبس. ويمكن بعد ذلك إرسال روابط المشاركة هذه إلى خدمة خارجية. التوصيات: بالنسبة للإصدارات الأقدم من 3.15، قم بالتحديث إلى الإصدار 3.15 لحل المشكلة. كإجراء مؤقت للتغلب على المشكلة، يُنصح بتقييد الوصول إلى واجهة برمجة تطبيقات (API) المأخذ حتى يتم تطبيق التحديث.

اسم البرنامج المعرض للثغرة والإصدارات المتأثرة: إصدارات Nextcloud Server الأقدم من 28.0.13 إصدارات Nextcloud Server الأقدم من 29.0.10 إصدارات Nextcloud Server الأقدم من 30.0.3 إصدارات Nextcloud Enterprise Server الأقدم من 28.0.13 إصدارات Nextcloud Enterprise Server الأقدم من 29.0.10 إصدارات Nextcloud Enterprise Server الأقدم من 30.0.3 الوصف: Nextcloud Server هو نظام سحابة شخصية ذاتية الاستضافة. لم يتم تأمين نقطة نهاية غير مستخدمة حاليًا للتحقق من مستلم المشاركة بشكل صحيح، مما يسمح بطلبات الوكيل إلى خادم آخر. لا توجد حلول بديلة معروفة متاحة. التوصيات: بالنسبة لإصدارات Nextcloud Server الأقدم من 28.0.13، قم بالتحديث إلى الإصدار 28.0.13 أو أحدث. بالنسبة لإصدارات Nextcloud Server الأقدم من 29.0.10، قم بالتحديث إلى الإصدار 29.0.10 أو أحدث. بالنسبة لإصدارات Nextcloud Server الأقدم من 30.0.3، قم بالتحديث إلى الإصدار 30.0.3 أو أحدث. بالنسبة لإصدارات Nextcloud Enterprise Server الأقدم من 28.0.13، قم بالتحديث إلى الإصدار 28.0.13 أو أحدث. بالنسبة لإصدارات Nextcloud Enterprise Server الأقدم من 29.0.10، قم بالتحديث إلى الإصدار 29.0.10 أو أحدث. بالنسبة لإصدارات Nextcloud Enterprise Server الأقدم من 30.0.3، قم بالتحديث إلى الإصدار 30.0.3 أو أحدث.

In the Nextcloud Desktop Client on Linux, synchronized files between the server and client may become world writable or world readable. This issue is fixed in version 3.13.4.

Name of the Vulnerable Software and Affected Versions: Nextcloud Server versions prior to 22.2.11 Nextcloud Server versions prior to 23.0.11 Nextcloud Server versions prior to 24.0.6 Nextcloud Enterprise Server versions prior to 22.2.11 Nextcloud Enterprise Server versions prior to 23.0.11 Nextcloud Enterprise Server versions prior to 24.0.6 Description: The issue is related to insecure management of privileges in Nextcloud Server and Nextcloud Enterprise Server. This can allow a remote attacker to disclose protected information. When a server is configured to only allow sharing with users that are in one's own groups, after a user was removed from a group, previously shared items were not unshared. Recommendations: For Nextcloud Server versions prior to 22.2.11, upgrade to version 22.2.11 or later. For Nextcloud Server versions prior to 23.0.11, upgrade to version 23.0.11 or later. For Nextcloud Server versions prior to 24.0.6, upgrade to version 24.0.6 or later. For Nextcloud Enterprise Server versions prior to 22.2.11, upgrade to version 22.2.11 or later. For Nextcloud Enterprise Server versions prior to 23.0.11, upgrade to version 23.0.11 or later. For Nextcloud Enterprise Server versions prior to 24.0.6, upgrade to version 24.0.6 or later.

The Nextcloud files Zip app is a tool to create zip archives from one or multiple files from within Nextcloud. In affected versions, users can download "view-only" files by zipping the complete folder.

The issue is related to the use of Memcached as `memcache.distributed` in Nextcloud, which can cause the rate limiting on the server to be reset unexpectedly, leading to the rate count being reset earlier than intended. This can be exploited by a remote attacker to cause a denial of service.

The issue concerns the brute force protection of public talk conversation passwords in Nextcloud Talk, a chat module for the Nextcloud server platform. In affected versions, this protection can be bypassed due to an endpoint validating the conversation password without registering brute force attempts.

The issue is related to the way PHP's XML functions rely on libxml global state to track configuration variables. This state can be changed by other modules, such as ImageMagick, within the same process, potentially leading to the disclosure of local files accessible to PHP. The vulnerable state may persist across many requests until the process is shut down.

A regression in the session handling between Nextcloud Server and the Nextcloud Text app prevented a correct destruction of the session on logout if cookies were not cleared manually. After successfully authenticating with any other account, the previous session would be continued and the attacker would be authenticated as the previously logged in user. This issue is related to incorrect session expiration.

The user oidc app, an OpenID Connect user backend for Nextcloud, has an issue where authentication can be broken or bypassed.

The Nextcloud Android app has a security issue that allows an attacker with access to an unlocked physical device to bypass the Pin/passcode protection using a third-party app. This enables the attacker to view meta information such as sharer, sharees, and activity of files.

The issue is related to a missing scope validation in the Nextcloud server, allowing users to create workflows designed for administrators only. Some workflows can lead to remote code execution (RCE) by invoking scripts, generating PDFs, or running scripts on the server. The combination of available apps can result in RCE.

The issue is related to the generated fallback password when creating a share in Nextcloud Server, which uses a weak complexity random number generator. This makes the password guessable to an attacker willing to brute force it, especially when the sharer does not change the password. The vulnerability can be exploited by a remote attacker to gain unauthorized access to protected information. It only affects users who do not have a password policy enabled.

The issue is related to the lack of authentication attempt limits in Nextcloud Server, allowing a malicious user to try to reset another user's password and then brute force the password reset token. Although brute forcing the 62^21 combinations for the password reset token would require significant compute resources, it is still a potential risk. There are no known real-world incidents or estimated numbers of affected devices mentioned.

The Nextcloud Desktop Client is a tool to synchronize files from a Nextcloud Server with your computer. It is missing sanitisation on qml labels used for basic HTML elements such as `strong`, `em`, and `head` lines in the UI of the desktop client. The lack of sanitisation may allow for javascript injection.

The issue is related to an inefficient fetch operation that may impact server performance and/or lead to a denial of service. This can be exploited by a remote attacker to initiate a denial of service attack. The vulnerability is associated with uncontrolled resource consumption.

The issue concerns the `OCFilesNodeFolder::getFullPath()` function, which was validating and normalizing strings in the wrong order. This function is used in the `newFile()` and `newFolder()` items, potentially allowing the creation of paths outside of one's own space and overwriting data from other users with crafted paths.

Nextcloud Deck is a kanban style organization tool aimed at personal planning and project organization for teams integrated with Nextcloud. A database error can be generated, potentially causing a denial of service when performed multiple times.