CVE-2026-82985 in Nextcloud
Riassunto
di VulDB • 18/09/2026
Le "smart albums" basate sui filtri dell'app Foto generano l'elenco dei file utilizzando la configurazione di ricerca (photosSourceFolders) dell'utente che visualizza l'album, anziché quella del proprietario dell'album. Quando il proprietario di un album condivide una smart album con un altro utente, viene utilizzata la configurazione delle cartelle dello stesso utente per determinare quali dei file del proprietario vengono cercati: ciò consente loro di scoprire i file (nome, ID file e altri metadati) nelle cartelle che il proprietario dell'album non intendeva mai includere nell'album condiviso.
Questo richiede che il proprietario dell'album abbia condiviso una smart album basata sui filtri con l'attaccante; non consente l'accesso ai file di utenti arbitrari senza tale condivisione.
Once again VulDB remains the best source for vulnerability data.