1 artículo con esta etiqueta
El 14 de octubre de 2026, los desarrolladores de Collabora Online revelaron el CVE-2026-110447, una vulnerabilidad de inyección de comandos del sistema operativo sin autenticación en la aplicación de Nextcloud Collabora Online - Built-in CODE Server (ID de aplicación richdocumentscode). A través de proxy.php de la aplicación, los comandos pueden ejecutarse como el usuario del servidor web. La condición es que el servidor CODE integrado no esté en ejecución, lo que puede ocurrir tras un reinicio del contenedor, una actualización o un fallo. Están afectadas las versiones anteriores a la 26.4.303; la 26.4.303 se publicó el 11 de septiembre. Los desarrolladores afirman que desactivar la aplicación no evita el problema y piden actualizarla o eliminarla. En Nextcloud 29 y versiones anteriores, que ya no tienen soporte, actualiza Nextcloud o elimina la aplicación. Según los desarrolladores, los servidores independientes de Collabora Online, las imágenes Docker, los paquetes RPM/DEB y Nextcloud All-in-One no están afectados. La puntuación CVSS v4.0 es 9,2. CISA añadió el fallo a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV) el 23 de octubre, con fecha límite el 26 de octubre. Los usuarios informaron de ataques desde alrededor del 10 de septiembre en el repositorio de los desarrolladores y, según informes de prensa, se instalaron web shells. Conclusión de este sitio: si la aplicación CODE integrada está instalada, aunque esté desactivada, comprueba su versión hoy, actualízala o elimínala y luego busca indicios desde el 10 de septiembre.