| Title | NextcloudのNextcloud Serverにおけるユーザ制御の鍵による認証回避に関する脆弱性 |
|---|---|
| Summary | Nextcloudはオープンソースのコンテンツコラボレーションプラットフォームです。Nextcloud Serverのバージョン32.0.0から32.0.9未満、および33.0.0から33.0.3未満において、他のユーザーのプリンシパルURLを知っている場合、認証済みユーザーであれば攻撃者がリクエストを送信しカレンダーへ完全にアクセスできる可能性があります。これはカレンダーのバックエンドで適切な認可制御が行われていないことが原因です。攻撃者がカレンダーにアクセスできた場合、閲覧および変更が可能です。Nextcloud Serverは33.0.3または32.0.9にアップグレードすることが推奨されます。Nextcloud Enterprise Serverは33.0.3、32.0.9、31.0.14.5、30.0.17.9、29.0.16.16、28.0.14.17、27.1.11.26、26.0.13.26、25.0.13.29、24.0.12.34、23.0.12.35、22.2.10.39、または21.0.9.23にアップグレードすることが推奨されます。 |
| Possible impacts | ・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアは停止しません。 |
| Solution | ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date | June 1, 2026, midnight |
| Registration Date | June 5, 2026, 10:46 a.m. |
| Last Update | June 5, 2026, 10:46 a.m. |
| CVSS3.0 : 重要 | |
| Score | 8.1 |
|---|---|
| Vector | CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N |
| Nextcloud |
| Nextcloud Server 21.0.0 以上 21.0.9.23 未満 |
| Nextcloud Server 22.0.0 以上 22.2.10.39 未満 |
| Nextcloud Server 23.0.0 以上 23.0.12.35 未満 |
| Nextcloud Server 24.0.0 以上 24.0.12.34 未満 |
| Nextcloud Server 25.0.0 以上 25.0.13.29 未満 |
| Nextcloud Server 26.0.0 以上 26.0.13.26 未満 |
| Nextcloud Server 27.0.0 以上 27.1.11.26 未満 |
| Nextcloud Server 28.0.0 以上 28.0.14.17 未満 |
| Nextcloud Server 29.0.0 以上 29.0.16.16 未満 |
| Nextcloud Server 30.0.0 以上 30.0.17.9 未満 |
| Nextcloud Server 31.0.0 以上 31.0.14.5 未満 |
| Nextcloud Server 32.0.0 以上 32.0.9 未満 |
| Nextcloud Server 33.0.0 以上 33.0.3 未満 |
| No | Changed Details | Date of change |
|---|---|---|
| 1 | [2026年06月05日] 掲載 |
June 5, 2026, 10:46 a.m. |
| Summary | Nextcloud is an open source content collaboration platform. In Nextcloud Server from versions 32.0.0 to before 32.0.9, and 33.0.0 to before 33.0.3, with the knowledge of other users’ principal URL an attacker could possibly send a request to gain full access to their calendar. Therefore, the attacker must be an authenticated user. This is because of improper authorization controls in the backend of the calendar. If the attacker had access to the calendar, they would be able to view and modify it. It is recommended that the Nextcloud Server is upgraded to 33.0.3 or 32.0.9. It is recommended that the Nextcloud Enterprise Server is upgraded to 33.0.3, 32.0.9, 31.0.14.5, 30.0.17.9, 29.0.16.16, 28.0.14.17, 27.1.11.26, 26.0.13.26, 25.0.13.29, 24.0.12.34, 23.0.12.35, 22.2.10.39, or 21.0.9.23 |
|---|---|
| Publication Date | June 2, 2026, 4:16 a.m. |
| Registration Date | June 3, 2026, 4:14 a.m. |
| Last Update | June 4, 2026, 2:11 a.m. |
| Configuration1 | or higher | or less | more than | less than | |
| cpe:2.3:a:nextcloud:nextcloud_server:*:*:*:*:-:*:*:* | 32.0.0 | 32.0.9 | |||
| cpe:2.3:a:nextcloud:nextcloud_server:*:*:*:*:-:*:*:* | 33.0.0 | 33.0.3 | |||
| cpe:2.3:a:nextcloud:nextcloud_server:*:*:*:*:enterprise:*:*:* | 21.0.0 | 21.0.9.23 | |||
| cpe:2.3:a:nextcloud:nextcloud_server:*:*:*:*:enterprise:*:*:* | 22.0.0 | 22.2.10.39 | |||
| cpe:2.3:a:nextcloud:nextcloud_server:*:*:*:*:enterprise:*:*:* | 23.0.0 | 23.0.12.35 | |||
| cpe:2.3:a:nextcloud:nextcloud_server:*:*:*:*:enterprise:*:*:* | 24.0.0 | 24.0.12.34 | |||
| cpe:2.3:a:nextcloud:nextcloud_server:*:*:*:*:enterprise:*:*:* | 25.0.0 | 25.0.13.29 | |||
| cpe:2.3:a:nextcloud:nextcloud_server:*:*:*:*:enterprise:*:*:* | 26.0.0 | 26.0.13.26 | |||
| cpe:2.3:a:nextcloud:nextcloud_server:*:*:*:*:enterprise:*:*:* | 27.0.0 | 27.1.11.26 | |||
| cpe:2.3:a:nextcloud:nextcloud_server:*:*:*:*:enterprise:*:*:* | 28.0.0 | 28.0.14.17 | |||
| cpe:2.3:a:nextcloud:nextcloud_server:*:*:*:*:enterprise:*:*:* | 29.0.0 | 29.0.16.16 | |||
| cpe:2.3:a:nextcloud:nextcloud_server:*:*:*:*:enterprise:*:*:* | 30.0.0 | 30.0.17.9 | |||
| cpe:2.3:a:nextcloud:nextcloud_server:*:*:*:*:enterprise:*:*:* | 31.0.0 | 31.0.14.5 | |||
| cpe:2.3:a:nextcloud:nextcloud_server:*:*:*:*:enterprise:*:*:* | 32.0.0 | 32.0.9 | |||
| cpe:2.3:a:nextcloud:nextcloud_server:*:*:*:*:enterprise:*:*:* | 33.0.0 | 33.0.3 | |||