安全公告：Deck应用权限绕过漏洞

报告ID #3247499

状态 已解决

严重性 中等（5.4分）

弱点 不当的访问控制 - 通用类型

CVE ID CVE-2025-66557

赏金 $250

报告日期 2025年7月11日 11:58 UTC 披露日期 2025年12月5日 8:20 UTC

概述

本报告详细说明了Nextcloud平台中Deck应用存在的一个安全漏洞。该漏洞允许仅拥有“Can share”（可以分享）权限的用户，越权修改其他非所有者用户的权限设置，从而绕过了预期的访问控制机制。

安全公告：完整的漏洞技术细节已在Nextcloud安全公告页面发布：GHSA-wwr8-hx9g-rjvv。

时间线

• 2025年7月11日，12:01 UTC：安全研究员 daroo (ID已验证) 向Nextcloud提交了漏洞报告。
• 2025年7月11日，12:01 UTC：系统机器人发布了评论。
• 2025年7月11日，12:03 UTC：Nextcloud员工 nickvergessen 将报告状态变更为“已分类”。
• 2025年7月11日，12:16 UTC：研究员 daroo 发布了评论。
• 2025年8月5日，9:38 UTC：Nextcloud员工 nickvergessen 关闭报告，并将状态改为“已解决”。
• 2025年8月28日，11:56 UTC：研究员 daroo 发布了评论。
• 2025年9月2日，7:18 UTC：Nextcloud向研究员 daroo 发放了250美元的漏洞赏金。
• 8天前：Nextcloud员工 nickvergessen 修改了报告标题并发布了评论。
• 5天前：Nextcloud员工 nickvergessen 更新了CVE引用至CVE-2025-66557，并请求公开此报告。
• 5天前：研究员 daroo 同意公开此报告。
• 5天前：本报告被公开披露。