Nextcloud Server – böswillige Änderung externer Speicher macht sie unzugänglich

Beschreibung

Nextcloud Server stellt Datenspeicher für die quelloffene Nextcloud-Plattform bereit. In den betroffenen Versionen konnte ein böswilliger Nutzer jeden persönlichen oder globalen externen Speicher so verändern, dass er für alle anderen unzugänglich wurde. Der Fehler ist unter anderem in Nextcloud Server 25.0.13, 26.0.8 und 27.1.3 sowie den entsprechenden Enterprise-Versionen behoben. Als Übergangslösung lässt sich die App files_external deaktivieren. CVSS-Basiswert: 8.5 (Hoch). Empfohlene Massnahme: Aktualisierung auf eine der korrigierten Versionen.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Nextcloud

• NextcloudPi: Command-Injection im Web-Panel ermöglicht Root-Codeausführung CVE-2024-30247
• Nextcloud Global Site Selector – Authentifizierung als fremder Benutzer CVE-2024-22212
• Nextcloud Desktop Client – Synchronisierte Dateien werden auf Linux world-writable oder world-readable CVE-2024-46958
• Windmill – Fehlende Autorisierung ermöglicht unerlaubte Aktionen (Operator-Rolle) CVE-2026-22683
• Nextcloud Server – Zugriff auf CalDAV-Daten über Principal-URL CVE-2026-45281
• Nextcloud – Privilegienerweiterung durch authentifizierten Angreifer CVE-2026-45545