PT-2022-16913 · Nextcloud+1 · Nextcloud Calendar+1

Miaulalala + 1 · Publicado 2022-04-11 · Atualizado 2025-03-26 · CVE-2022-24838

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões do Nextcloud Calendar anteriores à 3.2.2

Descrição

O problema diz respeito à injeção de comandos SMTP em e-mails de compromissos. Ele ocorre porque as quebras de linha e os caracteres especiais no valor do e-mail dentro da solicitação JSON não são sanitizados. Isso permite que um invasor mal-intencionado injete novas linhas, saindo do comando SMTP RCPT TO:<EMAIL DO USUÁRIO DA RESERVA> e possibilitando a injeção de comandos SMTP arbitrários.

Recomendações

Para versões anteriores à 3.2.2, atualize para a versão 3.2.2 para resolver o problema.

No momento, não há soluções alternativas disponíveis para este problema.

Exploit

Correção

Special Elements Injection

Enumeração de Fraquezas

CWE-74

CWE-93

Identificadores relacionados

BDU:2025-03807

CVE-2022-24838

GHSA-8XV5-4855-24QF

Produtos afetados

Nextcloud Calendar

Red Os

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/24xxx/CVE-2022-24838.json · Exploit
• https://github.com/nextcloud/calendar/pull/4073 · Correção
• https://github.com/nextcloud/calendar/commit/7b70edfb8a0fcf0926f613ababcbd56c6ecd9f35 · Correção
• https://github.com/nextcloud/security-advisories/security/advisories/GHSA-8xv5-4855-24qf · Nota
• https://redos.red-soft.ru/support/secure/uyazvimosti/uyazvimost-nextcloud-cve-2022-24838 · Nota
• https://redos.red-soft.ru/support/secure/uyazvimosti/support/secure/uyazvimosti/uyazvimost-nextcloud-cve-2022-24838 · Nota
• https://osv.dev/vulnerability/CVE-2022-24838 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-24838 · Nota de Segurança
• http://repo.red-soft.ru/redos/7.3c/x86_64/updates · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2025-03807 · Nota de Segurança