- Son 7 gün
- CWE-284
CVE-2026-82984
Nextcloud Server'da ekip kaynaklarının yetkisiz listelenmesi (kaynak API'si)
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- hackerone
Yönetici özeti
Bu açık, sisteminizde kayıtlı bir kullanıcının ekip dışındaki kişilerden gizli kalması gereken kaynak bilgilerini görmesine yol açabilir. Doğrudan veri sızıntısı değil, ama iç yapı hakkında bilgi verdiği için orta düzeyde bir risk taşır. Kullanıcılarınızın sürümünüzü kontrol etmesi ve güncellemesi önerilir.
ÖzetTürkçe
Nextcloud Server'da, bir ekip "herkese görünür" olarak yapılandırıldığında web arayüzü ekip üyesi olmayan kullanıcıların ekibi görüntülemesini doğru şekilde engelliyor. Ancak kaynaklar API uç noktası doğrudan çağrılabiliyor. Bu durumda kimlik doğrulaması yapılmış, ekip üyesi olmayan herhangi bir kullanıcı ekibin iç kaynaklarını ve bunların tanımlayıcılarını listeleyebilir. Etkilenen sürümler 32.0.0 ile 33.0.0 arasındaki sürümlerdir.
Saldırgan ne yapabilir?
Saldırgan, ekibin iç kaynaklarının varlığını, adlarını ve tanımlayıcılarını öğrenebilir. Kaynakların içeriğine erişim sağlanmaz.
Kaynaktaki açıklama (İngilizce)
When a team was configured as "visible to everyone", the web UI correctly blocked non-members from viewing the team ("You are not a member of ..."), but the resources API endpoint could still be called directly, allowing any authenticated non-member to enumerate the team's internal resources and their identifiers.
This does not grant access to the contents of the discovered resources themselves, only their existence, names, and identifiers.
Ne yapmalı?
- Nextcloud Server'ı, açığın giderildiği sürüme yükseltin. Etkilenen aralık 32.0.0 ile 33.0.0 arasıdır; bu aralıktaki sürümler kullanılmamalıdır. Genel öneri
- Güncellemeden sonra, herkese görünür ekiplerin kaynaklarının ekip üyesi olmayan bir hesapla API üzerinden listelenemediğini test edin. Genel öneri
Ek önlemler
- Yetkisiz erişim denemelerini ve olağandışı API çağrılarını sunucu günlüklerinden düzenli olarak izleyin. Genel öneri
- Hassas bilgi içeren ekipleri herkese görünür olarak yapılandırmaktan kaçının; gerektiğinden fazla görünürlük vermeyin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Nextcloud Server | ≥ 32.0.0, ≤ 33.0.0 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.