CVE-2021-32679

Versões do Nextcloud Server anteriores à 19.0.13

Versões do Nextcloud Server anteriores à 20.0.11

Versões do Nextcloud Server anteriores à 21.0.3

O Nextcloud Server é um pacote que lida com armazenamento de dados. Nas versões afetadas, os nomes de arquivos não eram escapados por padrão nos controladores que utilizavam DownloadResponse. Quando um nome de arquivo fornecido pelo usuário era passado sem sanitização para um DownloadResponse, isso poderia ser usado para induzir usuários a baixar arquivos maliciosos com uma extensão de arquivo inofensiva. Isso se manifestaria no comportamento da interface do usuário, onde os aplicativos Nextcloud exibiriam uma extensão de arquivo inofensiva, mas o arquivo seria, na verdade, baixado com uma extensão de arquivo executável.

Para versões anteriores à 19.0.13, atualize para a versão 19.0.13 ou posterior.

Para versões anteriores à 20.0.11, atualize para a versão 20.0.11 ou posterior.

Para versões anteriores à 21.0.3, atualize para a versão 21.0.3 ou posterior.

Como solução temporária, os desenvolvedores de aplicativos Nextcloud podem escapar manualmente o nome do arquivo antes de passá-lo para DownloadResponse.