Nextcloud

Nextcloud 的公开漏洞报告、类别分布与常见资产。

攻击面

弱点类别分布

• 信息泄露109
• 访问控制105
• 身份认证77
• 跨站脚本55
• 错误配置42
• 其他弱点40
• 密码学缺陷27
• 业务逻辑25
• 拒绝服务24
• 不安全的直接对象引用22
• 代码执行21
• 服务端请求伪造19
• 注入与走私13
• 跨站请求伪造8
• 路径遍历8
• 内存破坏7
• 开放重定向6
• SQL 注入5

主要弱点

• 访问控制缺陷（通用）89
• 信息泄露66
• 认证缺陷（通用）37
• Unlabeled35
• 违反安全设计原则（按标题归类）34
• XSS（通用）28
• 资源消耗失控23
• IDOR22
• 存储型 XSS20
• SSRF19

常见资产

• · 172
• nextcloud/serverSOURCE_CODE · 158
• nextcloud.comURL · 29
• com.nextcloud.clientGOOGLE_PLAY_APP_ID · 24
• Desktop ClientDOWNLOADABLE_EXECUTABLES · 23
• nextcloud/mailSOURCE_CODE · 20
• nextcloud/spreedSOURCE_CODE · 18
• nextcloud/deckSOURCE_CODE · 13
• https://github.com/nextcloud/tablesSOURCE_CODE · 10
• apps.nextcloud.comURL · 10

高票报告

当前状态 13 份 · 全部 613

1. 8
   Wordpress Users Disclosure信息泄露 · 2019-07-01 · 高危
   $0信息泄露
2. 7
   NextCloud is also Accepting OCTET-STREAM Type of Documents instead of jpg or Imge Files Only身份认证 · 2019-04-12 · 未评级
   $0认证缺陷（通用）
3. 6
   Email Spoofing其他弱点 · 2020-02-20 · 中危
   $0钓鱼
4. 5
   Missing SPF Flags on nextcloud.com错误配置 · 2017-02-10 · 未评级
   $0违反安全设计原则（按标题归类）
5. 4
   Disclosed Version of PORTS SSH|HTTP|SSL信息泄露 · 2018-06-14 · 低危
   $0信息泄露
6. 4
   The email API to reset password is unlimited and can be used as a email bomb访问控制 · 2017-04-20 · 低危
   $0访问控制缺陷（通用）
7. 3
   No rate limiting on password protected shared file link身份认证 · 2016-06-21 · 未评级
   $0认证缺陷（通用）
8. 2
   Reflected Self-XSS Vulnerability in the Comment section of Files (Different-payloads)跨站脚本 · 2016-08-31 · 未评级
   $0XSS（通用）
9. 1
   Nextcloud Clickjacking Vulnerability错误配置 · 2019-11-11 · 低危
   $0点击劫持
10. 1
    Clickjacking on https://download.nextcloud.com/错误配置 · 2019-11-11 · 低危
    $0点击劫持
11. 1
    Clickjacking on https://download.nextcloud.com错误配置 · 2019-11-11 · 未评级
    $0点击劫持
12. 1
    Information Exposure Through Directory Listing - https://apps.nextcloud.com/static/信息泄露 · 2019-01-07 · 低危
    $0目录列表泄露
13. 0
    Clickjacking on https://nextcloud.com/错误配置 · 2019-11-11 · 低危
    $0点击劫持