Deck应用允许通过使用RTLO字符伪造文件扩展名

报告ID: #2326618 报告状态: 已解决 严重程度: 中等 (4.3) 披露日期: 2026年1月4日 上午8点 UTC CVE ID: CVE-2025-66548 赏金: $100

安全公告: 详见 https://github.com/nextcloud/security-advisories/security/advisories/GHSA-xjvq-xvr7-xpg6

时间线

• 2024年1月19日，上午11:44 (UTC) jayateerthag 向 Nextcloud 提交了一份报告。
• 2024年1月19日，上午11:44 (UTC) 机器人: 发表了一条评论。
• 2024年1月19日，上午11:46 (UTC) jayateerthag 发表了一条评论。
• 2024年1月19日，上午11:48 (UTC) jayateerthag 发表了一条评论。
• 2024年1月19日，下午1:53 (UTC) Nextcloud 员工 anna_larch 将状态更改为 已分类。
• 2024年2月19日，下午3:36 (UTC) jayateerthag 发表了一条评论。
• 2024年2月20日，上午9:34 (UTC) Nextcloud 员工 nickvergessen 发表了一条评论。
• 2024年2月20日，上午9:55 (UTC) jayateerthag 发表了一条评论。
• 2024年2月20日，上午10:09 (UTC) Nextcloud 员工 nickvergessen 发表了一条评论。
• 2024年4月30日，上午9:48 (UTC) jayateerthag 发表了一条评论。
• 2024年5月20日，下午4:02 (UTC) jayateerthag 发表了一条评论。
• 2024年5月21日，上午11:53 (UTC) Nextcloud 员工 anna_larch 发表了一条评论。
• 2025年12月3日，下午7:49 (UTC) Nextcloud 员工 anna_nextcloud 关闭了报告并将状态更改为 已解决。
• 2025年12月3日，下午7:52 (UTC) Nextcloud 员工 anna_nextcloud 更改了报告标题。
• 2025年12月3日，下午9:22 (UTC) Nextcloud 员工 anna_nextcloud 将严重性从中等 (6.3) 更新为中等 (4.3)。
• 2025年12月4日，上午7:41 (UTC) Nextcloud 员工 nickvergessen 更改了报告标题。
• 2025年12月5日，上午7:25 (UTC) Nextcloud 员工 nickvergessen 将CVE引用更新为 CVE-2025-66548。
• 2025年12月5日，上午7:59 (UTC) Nextcloud 员工 nickvergessen 请求披露此报告。
• 2025年12月16日，上午8:27 (UTC) Nextcloud 向 jayateerthag 支付了 $100 的赏金。
• 7天前 此报告已被披露。

报告于: 2024年1月19日，上午11:44 UTC 报告者: jayateerthag 报告给: Nextcloud

参与者: 账户详情: 无