CVSS: 5.3EPSS: 0%CPEs: 1EXPL: 0CVE-2021-35949
https://notcve.org/view.php?id=CVE-2021-35949
07 Sep 2021 — The shareinfo controller in the ownCloud Server before 10.8.0 allows an attacker to bypass the permission checks for upload only shares and list metadata about the share. El controlador shareinfo en el servidor ownCloud versiones anteriores a 10.8.0, permite a un atacante omitir las comprobaciones de permisos para los recursos compartidos sólo de carga y listar los metadatos sobre el recurso compartido • https://doc.owncloud.com/server/admin_manual/release_notes.html • CWE-863: Incorrect Authorization •
CVSS: 5.3EPSS: 0%CPEs: 1EXPL: 0CVE-2021-35947
https://notcve.org/view.php?id=CVE-2021-35947
07 Sep 2021 — The public share controller in the ownCloud server before version 10.8.0 allows a remote attacker to see the internal path and the username of a public share by including invalid characters in the URL. El controlador de recursos compartidos públicos en el servidor ownCloud versiones anteriores a 10.8.0, permite a un atacante remoto visualizar la ruta interna y el nombre de usuario de un recurso compartido público al incluir caracteres no válidos en la URL • https://doc.owncloud.com/server/admin_manual/release_notes.html • CWE-209: Generation of Error Message Containing Sensitive Information •
CVSS: 4.6EPSS: 0%CPEs: 1EXPL: 0CVE-2020-36248
https://notcve.org/view.php?id=CVE-2020-36248
19 Feb 2021 — The ownCloud application before 2.15 for Android allows attackers to use adb to include a PIN preferences value in a backup archive, and consequently bypass the PIN lock feature by restoring from this archive. La aplicación ownCloud versiones anteriores a 2.15 para Android, permite a atacantes usar adb para incluir un valor de preferencias de PIN en un archivo de respaldo y, en consecuencia, omitir la funcionalidad de bloqueo de PIN mediante la restauración de este archivo • https://owncloud.com/security-advisories/bypassing-app-lock-pattern-passcode-fingerprint-lock-android-oc-sa-2020-003 • CWE-312: Cleartext Storage of Sensitive Information •
CVSS: 6.1EPSS: 0%CPEs: 1EXPL: 0CVE-2020-36250
https://notcve.org/view.php?id=CVE-2020-36250
19 Feb 2021 — In the ownCloud application before 2.15 for Android, the lock protection mechanism can be bypassed by moving the system date/time into the past. En la aplicación ownCloud versiones anteriores a 2.15 para Android, el mecanismo de protección de bloqueo puede ser omitido al mover la fecha y hora del sistema al pasado • https://owncloud.com/security-advisories/security-lock-can-be-bypassed-by-changing-the-system-date •
CVSS: 4.3EPSS: 0%CPEs: 1EXPL: 0CVE-2020-36251
https://notcve.org/view.php?id=CVE-2020-36251
19 Feb 2021 — ownCloud Server before 10.3.0 allows an attacker, who has received non-administrative access to a group share, to remove everyone else's access to that share. ownCloud Server versiones anteriores a 10.3.0, permite a un atacante, que ha recibido acceso no administrativo a un recurso compartido de grupo, eliminar el acceso de todos los demás a ese recurso compartido • https://owncloud.com/security-advisories/deleting-received-group-share-for-whole-group •
CVSS: 8.3EPSS: 0%CPEs: 1EXPL: 1CVE-2020-10252
https://notcve.org/view.php?id=CVE-2020-10252
19 Feb 2021 — An issue was discovered in ownCloud before 10.4. Because of an SSRF issue (via the apps/files_sharing/external remote parameter), an authenticated attacker can interact with local services blindly (aka Blind SSRF) or conduct a Denial Of Service attack. Se detectó un problema en ownCloud versiones anteriores a 10.4. Debido a un problema de tipo SSRF (por medio del parámetro remoto apps/files_sharing/external), un atacante autenticado puede interactuar con los servicios locales a ciegas (también se conoc... • https://blog.hacktivesecurity.com/index.php?controller=post&action=view&id_post=44 • CWE-918: Server-Side Request Forgery (SSRF) •
CVSS: 5.9EPSS: 0%CPEs: 1EXPL: 1CVE-2020-10254
https://notcve.org/view.php?id=CVE-2020-10254
19 Feb 2021 — An issue was discovered in ownCloud before 10.4. An attacker can bypass authentication on a password-protected image by displaying its preview. Se detectó un problema en ownCloud versiones anteriores a 10.4. Un atacante puede omitir la autenticación en una imagen protegida por contraseña al mostrar su vista previa • https://blog.hacktivesecurity.com/index.php?controller=post&action=view&id_post=44 • CWE-287: Improper Authentication •
CVSS: 9.1EPSS: 0%CPEs: 1EXPL: 0CVE-2020-28645
https://notcve.org/view.php?id=CVE-2020-28645
09 Feb 2021 — Deleting users with certain names caused system files to be deleted. Risk is higher for systems which allow users to register themselves and have the data directory in the web root. This affects ownCloud/core versions < 10.6. Una eliminación de usuarios con determinados nombres causó la eliminación de archivos del sistema. El riesgo es mayor para los sistemas que permiten a usuarios registrarse y tener el directorio de datos en la root web. • https://owncloud.com/security-advisories/missing-user-validation-leading-to-information-disclosure • CWE-20: Improper Input Validation •
CVSS: 4.3EPSS: 0%CPEs: 1EXPL: 0CVE-2020-28644
https://notcve.org/view.php?id=CVE-2020-28644
09 Feb 2021 — The CSRF (Cross Site Request Forgery) token check was improperly implemented on cookie authenticated requests against some ocs API endpoints. This affects ownCloud/core version < 10.6. Una comprobación del token CSRF (Cross Site Request Forgery) se implementó inapropiadamente en unas peticiones autenticadas por cookies en algunos endpoints de la API ocs. Esto afecta a ownCloud/core versión anterior a 10.6 • https://owncloud.com/security-advisories/cross-site-request-forgery-in-the-ocs-api • CWE-352: Cross-Site Request Forgery (CSRF) •
CVSS: 6.1EPSS: 0%CPEs: 1EXPL: 0CVE-2020-16255
https://notcve.org/view.php?id=CVE-2020-16255
15 Jan 2021 — ownCloud (Core) before 10.5 allows XSS in login page 'forgot password.' ownCloud (Core) versiones anteriores a 10.5, permite un ataque de tipo XSS en la página de inicio de sesión "forgot password" • https://owncloud.com/security-advisories/reflected-xss-in-login-page-forgot-password-functionallity • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •