CVE-2021-39221

Описание

Nextcloud, платформа для саморазмещаемой продуктивности, в приложении Contacts до версии 4.0.3 была уязвима к атаке Stored Cross-Site Scripting (XSS). Для эксплуатации пользователь должен был кликнуть правой кнопкой мыши на вредоносный файл и открыть его в новой вкладке.

Однако благодаря строгой политике Content-Security-Policy (CSP), поставляемой с Nextcloud, эта уязвимость не может быть эксплуатирована в современных браузерах, поддерживающих CSP. Рекомендуется обновить приложение Nextcloud Contacts до версии 4.0.3. В качестве обходного решения можно использовать браузеры с поддержкой Content-Security-Policy.

Затронутые версии ПО

• Nextcloud Contacts до версии 4.0.3

Тип уязвимости

Хранимый межсайтовый скриптинг (XSS)