PT-2025-48979
CVE-2025-66208
·
Publicado
2025-12-03
·
Atualizado
2026-10-31
Descrição por
CVSS 3.1
9.8
CríticaMétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Nome do Software Vulnerável e Versões Afetadas
Collabora Online - Built-in CODE Server versões anteriores a 25.04.702
Description
Existe uma Execução Remota de Código (RCE) dependente de configuração no proxy do richdocumentscode. Este problema permite a injeção de comandos do sistema operacional (OS command injection), onde um invasor pode executar comandos arbitrários no servidor. A falha afeta usuários do Nextcloud que utilizam o aplicativo Collabora Online - Built-in CODE Server quando acessado através do endpoint
proxy.php e um proxy reverso intermediário. Foi relatado um incidente real onde uma instância do Nextcloud auto-hospedada foi comprometida porque o proxy reverso confiou em um cabeçalho inseguro.Recommendations
Atualizar para a versão 25.04.702.
Auditar as configurações do proxy reverso para garantir que não confiem em cabeçalhos não autorizados.
Explorabilidade
Exploit
Correção
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾