发布日期：2023-04-04
更新日期：2023-04-14

受影响系统：

Nextcloud user_oidc >= 1.0.0
Nextcloud user_oidc < 1.3.0

描述：

---

CVE(CAN) ID: CVE-2023-28848

Nextcloud user_oidc是德国Nextcloud公司的一个应用程序
Nextcloud user_oidc 1.0.0版本至1.3.0版本存在跨站请求伪造漏洞，该漏洞源于应用程序将预期的状态令牌从第一个请求复制到第二个请求,攻击者可利用该漏洞绕过状态保护，从而导致信息泄露。

<*来源：nickvergessen
  
  链接：https://github.com/nextcloud/security-advisories/security/advisories/GHSA-52hv-xw32-wf7f
*>

建议：

---

厂商补丁：

Nextcloud
---------
Nextcloud已经为此发布了一个安全公告（CVE-2023-28848）以及相应补丁:
CVE-2023-28848：CSRF protection on user_oidc login returned the expected token in case of an error
链接：https://github.com/nextcloud/security-advisories/security/advisories/GHSA-52hv-xw32-wf7f

浏览次数：320
严重程度：0（网友投票）