Nextcloud: Mehrere Schwachstellen
WID-SEC-2026-1471 · primera publicación 12.05.2026 · actualizado 02.06.2026 · CVSS 8,1
De qué se trata
Nextcloud ist eine "on-premise" Plattform für Dateifreigabe und Zusammenarbeit. Ein Angreifer kann mehrere Schwachstellen im Nextcloud Server und verschiedenen Apps ausnutzen, um Sicherheitsvorkehrungen zu umgehen, um Informationen offenzulegen, und um Dateien zu manipulieren.
¿En qué condiciones?
El BSI no indica requisitos especiales. Explotable a distancia según el BSI.
Lo que puede pasar en el peor de los casos
Un atacante podría aprovechar la vulnerabilidad para
- Sicherheitsvorkehrungen zu umgehen
- Informationen offenzulegen
- Dateien zu manipulieren
¿Me afecta?
Afectados según el BSI:
- Nextcloud Nextcloud Android Files <33.1.0
- Nextcloud Nextcloud Server <32.0.9
- Nextcloud Nextcloud Server <33.0.3
- Nextcloud Nextcloud User OIDC <8.4.0
- Nextcloud Nextcloud Collectives <4.3.0
- Nextcloud Nextcloud End-to-End Encryption <1.15.4
- Nextcloud Nextcloud End-to-End Encryption <1.16.3
- Nextcloud Nextcloud End-to-End Encryption <1.17.1
- Nextcloud Nextcloud End-to-End Encryption <1.18.1
- Nextcloud Nextcloud End-to-End Encryption <2.0.0-rc.7
- Nextcloud Nextcloud Calendar <6.2.3
- Nextcloud Nextcloud Calendar <5.5.17
y 10 más
La versión instalada suele aparecer en «Ayuda → Acerca de» o en la interfaz de administración del dispositivo.
¿Qué ayuda?
Actualizar como mínimo a:
- Nextcloud Nextcloud Android Files 33.1.0
- Nextcloud Nextcloud Server 32.0.9
- Nextcloud Nextcloud Server 33.0.3
- Nextcloud Nextcloud User OIDC 8.4.0
- Nextcloud Nextcloud Collectives 4.3.0
- Nextcloud Nextcloud End-to-End Encryption 1.15.4
- Nextcloud Nextcloud End-to-End Encryption 1.16.3
- Nextcloud Nextcloud End-to-End Encryption 1.17.1
- Nextcloud Nextcloud End-to-End Encryption 1.18.1
- Nextcloud Nextcloud End-to-End Encryption 2.0.0-rc.7
- Nextcloud Nextcloud Calendar 6.2.3
- Nextcloud Nextcloud Calendar 5.5.17
¿Se está explotando ya la vulnerabilidad?
Ninguna de las CVE figura en el catálogo de la CISA de vulnerabilidades explotadas. No significa que no haya ataques, solo que no hay ninguno documentado.
Información y fuentes
- Aviso original del BSI (WID)
- GitHub Security Advisory GHSA-2w7v-5299-3hw5 vom 2026-05-11 github.com
- GitHub Security Advisory GHSA-35fx-69q6-xpjr vom 2026-05-11 github.com
- GitHub Security Advisory GHSA-45pj-p7x7-4mhc vom 2026-05-11 github.com
- GitHub Security Advisory GHSA-4chh-6mhf-p4jj vom 2026-05-11 github.com
- GitHub Security Advisory GHSA-79xf-ffj8-96fm vom 2026-05-11 github.com
- GitHub Security Advisory GHSA-8mpv-ggq8-hf3w vom 2026-05-11 github.com
- GitHub Security Advisory GHSA-hrrv-mp25-26vv vom 2026-05-11 github.com
- GitHub Security Advisory GHSA-p3qw-7gwx-wg24 vom 2026-05-11 github.com
- GitHub Security Advisory GHSA-qqgv-fqwp-mjpp vom 2026-05-11 github.com
- GitHub Security Advisory GHSA-r3xh-x86g-hw4m vom 2026-05-11 github.com
- GitHub Security Advisory GHSA-r697-74m9-gvf2 vom 2026-05-11 github.com
- GitHub Security Advisory GHSA-xpgv-grf9-gm7x vom 2026-05-11 github.com
- GitHub Security Advisory GHSA-8wjr-5cg8-4w73 vom 2026-05-11 github.com
- GitHub Security Advisory GHSA-h7gm-vgxr-9hcw vom 2026-05-11 github.com
- GitHub Security Advisory GHSA-j33j-qph5-4wch vom 2026-05-11 github.com
- GitHub Security Advisory GHSA-r4gh-f8x6-m55f vom 2026-05-11 github.com
- GitHub Security Advisory GHSA-v8q8-w6c3-3gv9 vom 2026-05-11 github.com
- GitHub Security Advisory GHSA-wx2x-822r-rvmf vom 2026-05-11 github.com
- GitHub Security Advisory GHSA-x75r-65hm-cw35 vom 2026-05-11 github.com
CVE: CVE-2026-45153, CVE-2026-45154, CVE-2026-45155, CVE-2026-45156, CVE-2026-45157, CVE-2026-45159, CVE-2026-45264, CVE-2026-45266, CVE-2026-45267, CVE-2026-45275, CVE-2026-45277, CVE-2026-45278, CVE-2026-45279, CVE-2026-45281, CVE-2026-45282, CVE-2026-45283, CVE-2026-45284, CVE-2026-45285, CVE-2026-45286
Fuente: BSI, servicio de alertas e información (CERT-Bund); CISA. La valoración de las condiciones es mi lectura del texto del BSI; las páginas externas están en su idioma original.