☁️ Nextcloud
Une salve de CVE a été publiée par l’éditeur hier, vous trouverez ci-dessous une sélection des plus critiques (Score CVE > 5, ou qui selon nous méritent d’être cités) mais nous vous invitons à consulter la liste de toutes les failles à cette adresse.
- CVE-2026-77167 – 7.5 – DDOS via partages fédérés – Une instance Nextclod ayant les partages fédérés d’actifs peut se faire attaquer par déni de service à travers cette fonctionnalité.
- Corrigé en Nextcloud Serveur 31.0.14.8, 32.0.13, 33.0.7 et 34.0.2
- CVE-2026-77165 – 6.5 – Un utilisateur accédant à un fichier avec des permissions d’écriture/partage est en capacité de verrouiller le fichier de sorte à ce que son propriétaire ne puisse plus y accéder.
- Corrigé en 32.0.6, 33.0.6 et 34.0.1
- Le nettoyage en cas de fichier impacté est manuel, en base de données
- CVE-2026-77169 – 6.5 – Un utilisateur à privilège peut accéder à tous les groupfolders de la plateforme (Fonctionnalité détournée, l’attaquant doit déjà disposer de délégation de permission données par un administrateur)
- Corrigé dans les versions TeamFolder 13.1.8, 14.0.12, 15.3.13, 16.0.16, 17.0.16, 18.1.14, 19.1.19, 20.1.15, 21.0.8 et 22.0.1
- CVE-2026-114601 – 5.3 – Les liens de partages publics créés par un compte restent actifs une fois le compte désactivé
- Corrigé en 30.0.17.12, 31.0.14.8, 32.0.13, 33.0.7 et 34.0.2
- Supprimer le compte désactivé permet de supprimer les partages
- CVE-2026-77172 – 5.3 – Pas de confirmation de mot de passe lors de l’utilisation d’un apptoken
- Corrigé en 30.0.17.10, 31.0.14.6, 32.0.12, 33.0.6 et 34.0.1
- CVE-2026-77173 – 4.3 – Un fichier spécialement conçu ou contenant un dièse `#` dans son nom passe entre les mailles du filet de l’application `files_confidential` et n’est pas étiqueté en tant que tel
- Corrigé dans l’application files_confidential version 3.3.1, 4.1.1 et 5.1.0
💡 N’hésitez pas à nous contacter en cas de besoin d’assistance sur les mises à jour à mener.