使用文件 zip 应用程序在 Nextcloud 中绕过权限 (CVE-2024-22404)

CVE编号

CVE-2024-22404

利用情况

暂无

补丁情况

N/A

披露时间

2024-01-19

漏洞描述

Nextcloud Files Zip 应用是在 Nextcloud 内部创建ZIP归档文件的工具。在受影响的版本中，用户可以通过将整个文件夹压缩到ZIP文件中来下载"只读"文件。建议将 Files ZIP 应用升级到1.2.1、1.4.1或1.5.0版本。无法进行升级的用户应禁用文件 ZIP 应用。

解决建议

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
https://github.com/nextcloud/files_zip/commit/43204539d517a13e945b90652718e2a...
https://github.com/nextcloud/security-advisories/security/advisories/GHSA-vhj...
https://hackerone.com/reports/2247457

CVSS3评分 4.1

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 低
• 影响范围 已更改
• 用户交互 需要
• 可用性 无
• 保密性 低
• 完整性 无

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:N/A:N

CWE-ID	漏洞类型
CWE-281	权限预留不恰当

Exp相关链接

- avd.aliyun.com