Nextcloud 存储型XSS漏洞：SVG文件上传风险分析

漏洞概述

漏洞标题：通过SVG文件导致的存储型XSS漏洞

漏洞平台：Nextcloud

报告ID：#3357808

报告状态：已解决

严重程度：中等（CVSS评分6.8）

弱点类型：存储型跨站脚本攻击（Stored XSS）

CVE ID：CVE-2025-66512

赏金金额：150美元

披露时间：2025年12月5日 10:33 UTC

漏洞发现与处理时间线

该漏洞由安全研究员aptroom于2025年9月25日13:00 UTC提交给Nextcloud安全团队。具体时间线如下：

• 2025年9月25日：aptroom提交漏洞报告，并在随后多次更新漏洞信息
• 2025年9月27日：Nextcloud员工djdisco将状态更改为"已分类"
• 2025年10月1-4日：双方就漏洞细节进行了多轮交流
• 2025年10月3日：Nextcloud团队将严重等级从"严重（9.3）“下调至"中等（6.8）”
• 2025年11月19日：Nextcloud关闭报告并将状态改为"已解决"，同时向aptroom支付150美元赏金
• 2025年11-12月：分配CVE-2025-66512编号，报告于12月5日公开披露

漏洞详情与影响

该存储型XSS漏洞允许攻击者通过上传特制的SVG（可缩放矢量图形）文件，在Nextcloud平台中注入恶意脚本代码。一旦文件被上传并存储，其中的恶意脚本将在其他用户访问或查看该文件时执行。

这种攻击可能导致的后果包括：

• 用户会话劫持
• 敏感信息窃取
• 平台功能破坏
• 对其他用户发起进一步攻击

安全建议与参考

Nextcloud安全团队已发布相关安全公告，地址为： https://github.com/nextcloud/security-advisories/security/advisories/GHSA-qcw2-p26m-9gc5

注意：尝试访问此链接时返回404状态，可能表明该公告已被移动或归档。建议用户关注Nextcloud官方安全频道获取最新安全更新。

总结

此漏洞报告展示了Nextcloud平台对安全问题的积极响应机制，从漏洞提交、分类评估到最终修复和赏金支付，整个过程体现了专业的安全处理流程。对于使用Nextcloud的组织和个人，建议定期检查并应用官方安全更新，特别是处理用户上传文件时，应对SVG等可能包含可执行代码的文件格式进行严格的安全过滤和验证。