Un trio de failles majeures dans ownCloud expose les mots de passe des administrateurs et permet la modification de fichiers sans authentification.

ownCloud a révélé trois vulnérabilités critiques, dont la plus grave entraîne une exposition de données sensibles et a une note de gravité maximale. La société de logiciels de partage de fichiers open source a déclaré que le déploiement en conteneurs de ownCloud pouvait exposer les mots de passe d’administrateur, les informations d’identification du serveur de messagerie et les clés de licence. Suivi sous CVE-2023-49103, la vulnérabilité a une note de gravité maximale de 10 sur l’échelle CVSS v3 et affecte les versions garaphapi app 0.2.0 à 0.3.0. L’applications se fie à une bibliothèque tierce qui fournit une URL qui, une fois suivie, révèle les détails de configuration de l’environnement PHP, ce qui permet à un attaquant d’accéder aux données sensibles. Non seulement un intrus pourrait accéder aux mots de passe d’administrateur lorsqu’il est déployé dans des conteneurs, mais le même environnement PHP expose également d’autres détails de configuration potentiellement précieux, a déclaré ownCloud dans son avis, de sorte que même si le logiciel n’est pas en cours d’exécution dans un conteneur, les correctifs recommandés doivent quand même être appliqués.