PT-2026-45534 · Nextcloud · Nextcloud Server+1
CVSS v3.1
5.9
Média
| Vetor | AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:H/A:N |
Nome do Software Vulnerável e Versões Afetadas
Nextcloud Server versões 32.0.0 até 32.0.8
Nextcloud Server versões 33.0.0 até 33.0.2
Nextcloud Enterprise Server (versões afetadas não especificadas)
Descrição
Uma falha de bypass de autenticação permite que invasores que possuam a senha de um usuário ignorem as proteções de autenticação de dois fatores (2FA). Durante o processo de login em uma conta com 2FA habilitado, o sistema gera um token de sessão temporário antes que o desafio do segundo fator seja aplicado. Esse token pode ser extraído e repetido via HTTP Basic Authentication para obter acesso não autorizado a endpoints autenticados.
Recomendações
Atualizar o Nextcloud Server versões 32.0.0 até 32.0.8 para a versão 32.0.9.
Atualizar o Nextcloud Server versões 33.0.0 até 33.0.2 para a versão 33.0.3.
Atualizar o Nextcloud Enterprise Server para 33.0.3, 32.0.9, 31.0.14.5, 30.0.17.9 ou 29.0.16.16.
Exploit
Correção
Improper Authentication
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Nextcloud Enterprise Server
Nextcloud Server