BDU:2026-03383

Опубликовано: 05 дек. 2025

Источник: fstec

CVSS3: 6.5

CVSS2: 6.4

EPSS Низкий

Описание

Уязвимость приложения Nextcloud Calendar облачного программного обеспечения для создания и использования хранилища данных Nextcloud связана с использованием недостаточно случайных значений. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность и целостность защищаемой информации

Вендор

ООО «Ред Софт»

Nextcloud GmbH

Наименование ПО

РЕД ОС

Nextcloud Calendar

Версия ПО

8.0 (РЕД ОС)

до 6.0.3 (Nextcloud Calendar)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 8.0

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,4)

Средний уровень опасности (базовая оценка CVSS 3.1 составляет 6,5)

Возможные меры по устранению уязвимости

В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.

Использование рекомендаций:

Для Nextcloud Calendar:

https://github.com/nextcloud/security-advisories/security/advisories/GHSA-whm3-vv55-gf27

Для Ред ОС: http://repo.red-soft.ru/redos/8.0/x86_64/updates/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-66511
CVE

EPSS

Процентиль: 9%

0.00031

Низкий

6.5 Medium

CVSS3

6.4 Medium

CVSS2

Связанные уязвимости

ROS-20260129-73-0049

CVSS3: 6.5

redos

2 месяца назад

Уязвимость nextcloud-app-calendar

CVE-2025-66511

CVSS3: 4.8

nvd

4 месяца назад

Nextcloud Calendar is a calendar app for Nextcloud. Prior to 6.0.3, the Calendar app generates participant tokens for meeting proposals using a hash function, allowing an attacker to compute valid participant tokens, which allowed them to request details and submit dates in meeting proposals. The tokens are not purely random generated. This vulnerability is fixed in 6.0.3.