Windmill/Nextcloud Flow < 1.603.3 - Unauthenticated Path Traversal

Windmill 1.603.3 contains a path traversal caused by unsanitized filename parameter in getlogfile endpoint, letting unauthenticated attackers read arbitrary files on the server, exploit requires no authentication. id: CVE-2026-29059 info: name: Windmill/Nextcloud Flow 1.603.3 - Unauthenticated Pa...

CVE-2024-52510

Nextcloud X-E2EE-SIGNATURE バイパス POC 概要 NextcloudのE2EEv2プロトコルの通常動作では、クライアントはフォルダメタデータに暗号署名を行ってからサーバーにアップロードします。これにより、ファイル共有や変更同期のためにメタデータが再取得された際に、改ざんされていないことが保証されます。 署名検証は、クライアントがfoldermetadata.cpp:177で、取得したメタデータを初期化する際に行われます。しかし、悪意のあるサーバーがこのチェックをバイパスする方法は2つあります:...

NcStatusCheck

NcStatusCheck 複数のNextcloudインスタンスを一元監視 NcStatusCheckは、単一のWebインターフェースから複数のNextcloudサーバーの健全性を追跡できる監視ツールです。NextcloudとPHPのバージョンを分析し、アップデートの推奨事項を提供します。 🎯 機能 監視 複数のNextcloudインスタンスの自動監視 サーバーごとに3つのデータ収集モード : Basic（NCバージョンのみ）、Extended（serverinfo APIによる全データ）、Push（リモートインスタンスが送信したデータ） NextcloudとPHPのバージョン分析...

mailinabox

Mail-in-a-Box 作者 @JoshData 和贡献者。 Mail-in-a-Box 通过提供一台一键式、易于部署的 SMTP+全套服务服务器，帮助个人重新掌控自己的电子邮件：一个装在盒子里的邮件服务器。 请访问https://mailinabox.email 查看项目网站和设置指南！ 我们的目标是： 让部署优秀的邮件服务器变得简单。 促进互联网的去中心化、创新和隐私保护。 拥有自动化、可审计且幂等的配置。 不 打造一个完全不可入侵、NSA 也无法攻破的服务器。 不 做成一个可供高级用户自定义的东西。 此外，本项目还有一份行为准则，其优先级高于上述目标。加入我们的社区时，请先阅读...

nextcloud_android

Nextcloud Android 应用 Codacy Badge 用于Nextcloud 的 Android 客户端。轻松在您的 Nextcloud 上处理数据。 如何贡献 如果您想为 Nextcloud 做出贡献，我们非常欢迎： 在我们的 IRC 频道 和 上（位于 freenode） 我们的论坛：https://help.nextcloud.com 在 Transifex 上翻译应用 提交 issue 和 PR（包含对应的 issue） 贡献指南与许可协议 GPLv2。自 2016 年 6 月 16 日起，对本仓库的所有贡献均视为在 AGPLv3 或任何更高版本下许可。...

CVE-2026-67312 vulnerabilities

Vulnerabilities for packages: wazuh-dashboard-fips, kibana, langfuse, jitsucom-jitsu, opensearch-dashboards-fips, redisinsight, lerna, prism, semaphore, nextcloud-server, awx, langfuse-fips, kubeflow-centraldashboard, librechat, wazuh-dashboard, azurite, opensearch-dashboards...

GHSA-F2R5-PQH9-R8F8 vulnerabilities

Vulnerabilities for packages: wazuh-dashboard-fips, kibana, langfuse, jitsucom-jitsu, opensearch-dashboards-fips, redisinsight, lerna, prism, semaphore, nextcloud-server, awx, langfuse-fips, kubeflow-centraldashboard, librechat, wazuh-dashboard, azurite, opensearch-dashboards...

GHSA-4WW2-RJH2-XPV9 vulnerabilities

Vulnerabilities for packages: wazuh-dashboard-fips, kibana, langfuse, jitsucom-jitsu, opensearch-dashboards-fips, redisinsight, lerna, prism, semaphore, nextcloud-server, awx, langfuse-fips, kubeflow-centraldashboard, librechat, wazuh-dashboard, azurite, opensearch-dashboards...

CVE-2026-67316 vulnerabilities

Vulnerabilities for packages: wazuh-dashboard-fips, kibana, langfuse, jitsucom-jitsu, opensearch-dashboards-fips, redisinsight, lerna, prism, semaphore, nextcloud-server, awx, langfuse-fips, kubeflow-centraldashboard, librechat, wazuh-dashboard, azurite, opensearch-dashboards...

CVE-2026-67312 vulnerabilities

Vulnerabilities for packages: prism, kubeflow-centraldashboard, langfuse, nextcloud-server, opensearch-dashboards, jitsucom-jitsu, lerna...

CVE-2026-67316 vulnerabilities

Vulnerabilities for packages: prism, kubeflow-centraldashboard, langfuse, nextcloud-server, opensearch-dashboards, jitsucom-jitsu, lerna...

GHSA-4WW2-RJH2-XPV9 vulnerabilities

Vulnerabilities for packages: prism, kubeflow-centraldashboard, langfuse, nextcloud-server, opensearch-dashboards, jitsucom-jitsu, lerna...

GHSA-F2R5-PQH9-R8F8 vulnerabilities

Vulnerabilities for packages: prism, kubeflow-centraldashboard, langfuse, nextcloud-server, opensearch-dashboards, jitsucom-jitsu, lerna...

CVE-2026-45156-POC

ハッカー・マトリックス・グリッチ 🚨 CVE-2026-45156 🚨 Nextcloud useroidc ID4me JWT 署名バイパス 管理者乗っ取りのための完全自動化された概念実証（PoC）エクスプロイト 📖 物語 すべてのCVEの背後には物語があります。これは、別れのマッシュアップをループで流しながら、寒い冬の夜の午前2時に発見されました。完全な技術的詳細、感情のジェットコースター、そして学んだゼロトラストの教訓をお読みください： 🔗 ブログ記事全文はこちら リンク先はあなたのブログ記事 🎯 脆弱性概要 Nextcloudのuseroidcアプリは、ID4me...

PoC---CVE-2023-26482-RCE-LAB-Nextcloud

नेक्स्ट क्लाउड प्रमाण की अवधारणा और विश्लेषण सुरक्षा सूचना यह रिपॉज़िटरी शैक्षिक और अनुसंधान उद्देश्यों के लिए एक नियंत्रित Docker प्रयोगशाला वातावरण में सार्वजनिक रूप से प्रकट और पैच की गई भेद्यता को पुन: प्रस्तुत करती है। यह वातावरण जानबूझकर कमजोर है और इसे केवल पृथक परीक्षण वातावरण में ही तैना...

security-advisories

Avvisi di sicurezza Questo repository è la fonte autorevole per gli avvisi di sicurezza del progetto Nextcloud: Gli avvisi successivi a maggio 2021 vengono pubblicati tramite la sezione Security Advisory di GitHub Gli avvisi precedenti a maggio 2021 si trovano nella cartella old/ archiviata, come...

CVE-2026-55640

creationtimestamp| type| source ---|---|--- 2026-08-25 18:08:31+00:00| seen| https://bsky.app/profile/stemshop.bsky.social/post/3mtwfys2tk52p 2026-08-25 18:35:19+00:00| published-proof-of-concept| https://github.com/cbcoutinho/nextcloud-mcp-server/security/advisories/GHSA-8vh3-g2qg-2h2c 2026-08-2...

CVE-2026-55640

Nextcloud MCP Server is a production-ready MCP server that connects AI assistants to a Nextcloud instance. Prior to 0.117.2, the POST /webhooks/nextcloud endpoint in nextcloudmcpserver/vector/webhookreceiver.py has no authentication by default because WEBHOOKSECRET defaults to None and startup...

nextcloud-mcp-server: Unauthenticated `POST /webhooks/nextcloud` allows arbitrary vector data deletion when `WEBHOOK_SECRET` is unset ( default )

Summary The POST /webhooks/nextcloud endpoint has no authentication by default: WEBHOOKSECRET defaults to None and is never required by startup validation. When unset, the receiver accepts any unauthenticated POST. The userid is taken directly from the attacker-supplied payload and passed to...

CVE-2026-55640 Nextcloud MCP Server: Unauthenticated `POST /webhooks/nextcloud` allows arbitrary vector data deletion when `WEBHOOK_SECRET` is unset ( default )

Nextcloud MCP Server is a production-ready MCP server that connects AI assistants to a Nextcloud instance. Prior to 0.117.2, the POST /webhooks/nextcloud endpoint in nextcloudmcpserver/vector/webhookreceiver.py has no authentication by default because WEBHOOKSECRET defaults to None and startup...