| タイトル | NextcloudのNextcloud Serverにおけるユーザ制御の鍵による認証回避に関する脆弱性 |
|---|---|
| 概要 | Nextcloudはオープンソースのコンテンツコラボレーションプラットフォームです。Nextcloud Serverのバージョン32.0.0から32.0.9未満、および33.0.0から33.0.3未満において、他のユーザーのプリンシパルURLを知っている場合、認証済みユーザーであれば攻撃者がリクエストを送信しカレンダーへ完全にアクセスできる可能性があります。これはカレンダーのバックエンドで適切な認可制御が行われていないことが原因です。攻撃者がカレンダーにアクセスできた場合、閲覧および変更が可能です。Nextcloud Serverは33.0.3または32.0.9にアップグレードすることが推奨されます。Nextcloud Enterprise Serverは33.0.3、32.0.9、31.0.14.5、30.0.17.9、29.0.16.16、28.0.14.17、27.1.11.26、26.0.13.26、25.0.13.29、24.0.12.34、23.0.12.35、22.2.10.39、または21.0.9.23にアップグレードすることが推奨されます。 |
| 想定される影響 | ・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアは停止しません。 |
| 対策 | ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2026年6月1日0:00 |
| 登録日 | 2026年6月5日10:46 |
| 最終更新日 | 2026年6月5日10:46 |
| CVSS3.0 : 重要 | |
| スコア | 8.1 |
|---|---|
| ベクター | CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N |
| Nextcloud |
| Nextcloud Server 21.0.0 以上 21.0.9.23 未満 |
| Nextcloud Server 22.0.0 以上 22.2.10.39 未満 |
| Nextcloud Server 23.0.0 以上 23.0.12.35 未満 |
| Nextcloud Server 24.0.0 以上 24.0.12.34 未満 |
| Nextcloud Server 25.0.0 以上 25.0.13.29 未満 |
| Nextcloud Server 26.0.0 以上 26.0.13.26 未満 |
| Nextcloud Server 27.0.0 以上 27.1.11.26 未満 |
| Nextcloud Server 28.0.0 以上 28.0.14.17 未満 |
| Nextcloud Server 29.0.0 以上 29.0.16.16 未満 |
| Nextcloud Server 30.0.0 以上 30.0.17.9 未満 |
| Nextcloud Server 31.0.0 以上 31.0.14.5 未満 |
| Nextcloud Server 32.0.0 以上 32.0.9 未満 |
| Nextcloud Server 33.0.0 以上 33.0.3 未満 |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2026年06月05日] 掲載 |
2026年6月5日10:46 |
| 概要 | Nextcloud is an open source content collaboration platform. In Nextcloud Server from versions 32.0.0 to before 32.0.9, and 33.0.0 to before 33.0.3, with the knowledge of other users’ principal URL an attacker could possibly send a request to gain full access to their calendar. Therefore, the attacker must be an authenticated user. This is because of improper authorization controls in the backend of the calendar. If the attacker had access to the calendar, they would be able to view and modify it. It is recommended that the Nextcloud Server is upgraded to 33.0.3 or 32.0.9. It is recommended that the Nextcloud Enterprise Server is upgraded to 33.0.3, 32.0.9, 31.0.14.5, 30.0.17.9, 29.0.16.16, 28.0.14.17, 27.1.11.26, 26.0.13.26, 25.0.13.29, 24.0.12.34, 23.0.12.35, 22.2.10.39, or 21.0.9.23 |
|---|---|
| 公表日 | 2026年6月2日4:16 |
| 登録日 | 2026年6月3日4:14 |
| 最終更新日 | 2026年6月4日2:11 |
| 構成1 | 以上 | 以下 | より上 | 未満 | |
| cpe:2.3:a:nextcloud:nextcloud_server:*:*:*:*:-:*:*:* | 32.0.0 | 32.0.9 | |||
| cpe:2.3:a:nextcloud:nextcloud_server:*:*:*:*:-:*:*:* | 33.0.0 | 33.0.3 | |||
| cpe:2.3:a:nextcloud:nextcloud_server:*:*:*:*:enterprise:*:*:* | 21.0.0 | 21.0.9.23 | |||
| cpe:2.3:a:nextcloud:nextcloud_server:*:*:*:*:enterprise:*:*:* | 22.0.0 | 22.2.10.39 | |||
| cpe:2.3:a:nextcloud:nextcloud_server:*:*:*:*:enterprise:*:*:* | 23.0.0 | 23.0.12.35 | |||
| cpe:2.3:a:nextcloud:nextcloud_server:*:*:*:*:enterprise:*:*:* | 24.0.0 | 24.0.12.34 | |||
| cpe:2.3:a:nextcloud:nextcloud_server:*:*:*:*:enterprise:*:*:* | 25.0.0 | 25.0.13.29 | |||
| cpe:2.3:a:nextcloud:nextcloud_server:*:*:*:*:enterprise:*:*:* | 26.0.0 | 26.0.13.26 | |||
| cpe:2.3:a:nextcloud:nextcloud_server:*:*:*:*:enterprise:*:*:* | 27.0.0 | 27.1.11.26 | |||
| cpe:2.3:a:nextcloud:nextcloud_server:*:*:*:*:enterprise:*:*:* | 28.0.0 | 28.0.14.17 | |||
| cpe:2.3:a:nextcloud:nextcloud_server:*:*:*:*:enterprise:*:*:* | 29.0.0 | 29.0.16.16 | |||
| cpe:2.3:a:nextcloud:nextcloud_server:*:*:*:*:enterprise:*:*:* | 30.0.0 | 30.0.17.9 | |||
| cpe:2.3:a:nextcloud:nextcloud_server:*:*:*:*:enterprise:*:*:* | 31.0.0 | 31.0.14.5 | |||
| cpe:2.3:a:nextcloud:nextcloud_server:*:*:*:*:enterprise:*:*:* | 32.0.0 | 32.0.9 | |||
| cpe:2.3:a:nextcloud:nextcloud_server:*:*:*:*:enterprise:*:*:* | 33.0.0 | 33.0.3 | |||