CVSS: 8.8EPSS: 0%CPEs: 1EXPL: 0CVE-2021-33828
https://notcve.org/view.php?id=CVE-2021-33828
15 Jan 2022 — The files_antivirus component before 1.0.0 for ownCloud mishandles the protection mechanism by which malicious files (that have been uploaded to a public share) are supposed to be deleted upon detection. El componente files_antivirus versiones anteriores a 1.0.0 para ownCloud, maneja inapropiadamente el mecanismo de protección por el cual se supone que los archivos maliciosos (que han sido subidos a un recurso compartido público) son eliminados al ser detectados • https://doc.owncloud.com/server/admin_manual/release_notes.html • CWE-434: Unrestricted Upload of File with Dangerous Type •
CVSS: 7.8EPSS: 2%CPEs: 3EXPL: 0CVE-2021-44537
https://notcve.org/view.php?id=CVE-2021-44537
15 Jan 2022 — ownCloud owncloud/client before 2.9.2 allows Resource Injection by a server into the desktop client via a URL, leading to remote code execution. ownCloud owncloud/client versiones anteriores a 2.9.2 permite una inyección de recursos por parte de un servidor en el cliente de escritorio por medio de una URL, conllevando a una ejecución de código remota • https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/STKTSNYBZPXBGJOCDAMCZPRXJLAYGDMO • CWE-74: Improper Neutralization of Special Elements in Output Used by a Downstream Component ('Injection') •
CVSS: 4.0EPSS: 0%CPEs: 1EXPL: 0CVE-2021-40537
https://notcve.org/view.php?id=CVE-2021-40537
08 Sep 2021 — Server Side Request Forgery (SSRF) vulnerability exists in owncloud/user_ldap < 0.15.4 in the settings of the user_ldap app. Administration role is necessary for exploitation. Se presenta una vulnerabilidad de tipo Server Side Request Forgery (SSRF) en owncloud/user_ldap versiones anteriores a 0.15.4, en la configuración de la aplicación user_ldap. El rol de administración es necesario para su explotación • https://owncloud.com/security-advisories/cve-2021-40537 • CWE-918: Server-Side Request Forgery (SSRF) •
CVSS: 5.8EPSS: 0%CPEs: 1EXPL: 0CVE-2021-35948
https://notcve.org/view.php?id=CVE-2021-35948
07 Sep 2021 — Session fixation on password protected public links in the ownCloud Server before 10.8.0 allows an attacker to bypass the password protection when they can force a target client to use a controlled cookie. Una fijación de la sesión en enlaces públicos protegidos por contraseña en el servidor ownCloud versiones anteriores a 10.8.0, permite a un atacante omitir la protección por contraseña cuando puede forzar a un cliente objetivo a usar una cookie controlada • https://doc.owncloud.com/server/admin_manual/release_notes.html • CWE-384: Session Fixation •
CVSS: 9.8EPSS: 0%CPEs: 1EXPL: 0CVE-2021-35946
https://notcve.org/view.php?id=CVE-2021-35946
07 Sep 2021 — A receiver of a federated share with access to the database with ownCloud version before 10.8 could update the permissions and therefore elevate their own permissions. Un receptor de un recurso compartido federado con acceso a la base de datos con ownCloud versiones anteriores a 10.8, podría actualizar los permisos y, por tanto, elevar sus propios permisos • https://doc.owncloud.com/server/admin_manual/release_notes.html • CWE-269: Improper Privilege Management •
CVSS: 5.3EPSS: 0%CPEs: 1EXPL: 0CVE-2021-35949
https://notcve.org/view.php?id=CVE-2021-35949
07 Sep 2021 — The shareinfo controller in the ownCloud Server before 10.8.0 allows an attacker to bypass the permission checks for upload only shares and list metadata about the share. El controlador shareinfo en el servidor ownCloud versiones anteriores a 10.8.0, permite a un atacante omitir las comprobaciones de permisos para los recursos compartidos sólo de carga y listar los metadatos sobre el recurso compartido • https://doc.owncloud.com/server/admin_manual/release_notes.html • CWE-863: Incorrect Authorization •
CVSS: 5.3EPSS: 0%CPEs: 1EXPL: 0CVE-2021-35947
https://notcve.org/view.php?id=CVE-2021-35947
07 Sep 2021 — The public share controller in the ownCloud server before version 10.8.0 allows a remote attacker to see the internal path and the username of a public share by including invalid characters in the URL. El controlador de recursos compartidos públicos en el servidor ownCloud versiones anteriores a 10.8.0, permite a un atacante remoto visualizar la ruta interna y el nombre de usuario de un recurso compartido público al incluir caracteres no válidos en la URL • https://doc.owncloud.com/server/admin_manual/release_notes.html • CWE-209: Generation of Error Message Containing Sensitive Information •
CVSS: 6.5EPSS: 0%CPEs: 1EXPL: 0CVE-2021-29659
https://notcve.org/view.php?id=CVE-2021-29659
20 May 2021 — ownCloud 10.7 has an incorrect access control vulnerability, leading to remote information disclosure. Due to a bug in the related API endpoint, the attacker can enumerate all users in a single request by entering three whitespaces. Secondary, the retrieval of all users on a large instance could cause higher than average load on the instance. ownCloud versión 10.7, presenta una vulnerabilidad de control de acceso incorrecto, conllevando a una divulgación de información remota. Debido a un bug en el end... • https://doc.owncloud.com/server/admin_manual/release_notes.html •
CVSS: 7.8EPSS: 0%CPEs: 1EXPL: 0CVE-2020-28646
https://notcve.org/view.php?id=CVE-2020-28646
26 Feb 2021 — ownCloud owncloud/client before 2.7 allows DLL Injection. The desktop client loaded development plugins from certain directories when they were present. ownCloud owncloud/client versiones anteriores a 2.7, permite una inyección de DLL. El cliente de escritorio cargó plugins de desarrollo desde determinados directorios cuando estaban presentes • https://owncloud.com/security-advisories/cve-2020-28646 • CWE-427: Uncontrolled Search Path Element •
CVSS: 4.6EPSS: 0%CPEs: 1EXPL: 0CVE-2020-36248
https://notcve.org/view.php?id=CVE-2020-36248
19 Feb 2021 — The ownCloud application before 2.15 for Android allows attackers to use adb to include a PIN preferences value in a backup archive, and consequently bypass the PIN lock feature by restoring from this archive. La aplicación ownCloud versiones anteriores a 2.15 para Android, permite a atacantes usar adb para incluir un valor de preferencias de PIN en un archivo de respaldo y, en consecuencia, omitir la funcionalidad de bloqueo de PIN mediante la restauración de este archivo • https://owncloud.com/security-advisories/bypassing-app-lock-pattern-passcode-fingerprint-lock-android-oc-sa-2020-003 • CWE-312: Cleartext Storage of Sensitive Information •