Origine : bjCSIRT
Numéro : 2026/ALERTE/121
APERÇU :
Une vulnérabilité affectant Collabora Online Built-in CODE Server (application Nextcloud richdocumentscode) permettrait à un acteur malveillant non authentifié d’exécuter du code arbitraire à distance sur les systèmes affectés.
DESCRIPTION :
Collabora Online Built-in CODE Server est un composant intégré à l’application Nextcloud, permettant l’édition collaborative de documents.
Ce produit est affecté par une vulnérabilité libellée CVE-2026-110447 qui résulte d’une injection de commandes système dans le script proxy.php relayant les requêtes HTTP entre Nextcloud et le serveur CODE local. L’exploitation de cette vulnérabilité permettrait à un acteur malveillant non authentifié d’exécuter des commandes arbitraires sur le système avec les privilèges du serveur web. L’exploitation n’est possible que lorsque le serveur CODE n’est pas en cours d’exécution, notamment après un redémarrage.
Elle est classée critique avec un score de sévérité de 9.2 selon le CVSS V4.0.
IMPACT :
- Exécution de code arbitraire à distance ;
- Compromission de l’intégrité du système ;
- Atteinte à la confidentialité des données ;
- Atteinte à l’intégrité des données.
SYSTEMES AFFECTÉS :
Les versions de Collabora Online Built-in CODE Server (application Nextcloud richdocumentscode) antérieures à 26.4.303.
MESURES À PRENDRE :
Mettre à jour Collabora Online Built-in CODE Server (application Nextcloud richdocumentscode) vers la version 26.4.303 ou ultérieure.
RÉFÉRENCES :
