Tables应用允许用户查看任意数据表的列元数据信息

报告ID: #3138721

报告状态: 已披露

报告平台: HackerOne

受影响产品: Nextcloud Tables 应用

安全公告: https://github.com/nextcloud/security-advisories/security/advisories/GHSA-p53h-6294-crjw

漏洞详情

弱点类型: 不安全的直接对象引用

CVE ID: CVE-2025-66553

严重性等级: 中等

CVSS 评分: 4.3

时间线

• 2025年5月11日 07:11 UTC: 黑客 daroo 向 Nextcloud 提交报告。
• 2025年5月11日 07:20 UTC: Nextcloud 员工 nickvergessen 将状态更改为 已分类。
• 2025年6月16日 07:58 UTC: Nextcloud 员工 nickvergessen 将报告状态更改为 已解决 并关闭报告。
• 2025年7月22日 07:18 UTC: Nextcloud 向 daroo 发放 250美元 奖金。
• 2025年12月5日 08:17 UTC: 报告被披露。

报告参与者

• 报告者: daroo
• 处理人员: nickvergessen (Nextcloud 员工)

漏洞影响

此漏洞属于 不安全的直接对象引用 类型。攻击者能够利用该漏洞，绕过预期的访问控制，访问并查看Nextcloud实例中任何数据表的列元数据信息，而无需拥有访问该表的必要权限。这可能导致敏感数据结构信息泄露。

处理结果

该漏洞已被Nextcloud安全团队确认、修复并归类。报告者因负责任的披露获得了奖励。相关修复已通过安全公告发布。