CVE-2021-32748

Nextcloud Richdocuments, açık kaynaklı ve kendi sunucunuzda barındırabileceğiniz bir çevrimiçi ofis uygulamasıdır. Nextcloud, Collabora Editor ile iletişim kurmak için WOPI ("Web Application Open Platform Interface") protokolünü kullanmaktadır; ancak bu iki servis arasındaki iletişim herhangi bir kimlik bilgisi veya IP kontrolü ile korunmamaktaydı. Bu durum, kullanıcının halihazırda erişimi olmayan verilere erişim sağlamasına yol açmasa da, [Nextcloud Virtual Data Room](https://nextcloud.com/virtual-data-room/) web sitesinde ve [dokümantasyonumuzda](https://portal.nextcloud.com/article/nextcloud-and-virtual-data-room-configuration-59.html) açıklandığı üzere, belgeler üzerinde zorunlu kılınan filigranların atlatılmasıyla sonuçlanabilir. Nextcloud Richdocuments 3.8.3 ve 4.2.0 sürümleri, WOPI API'sine erişebilecek IP adresleri için ek bir yönetici ayarı olan izin verilenler listesi (allowlist) özelliğini eklemektedir. Güncelleme yapmanızı ve izin verilenler listesini Collabora sunucularının bir listesi şeklinde yapılandırmanızı öneririz. Bilinen bir geçici çözüm yoktur. Bunun öncelikle, yapılandırılmış herhangi bir filigranın veya File Access Control kullanılarak sağlanan indirme korumasının atlatılmasına yol açtığını unutmayın. Bunları bir güvenlik özelliği olarak talep etmiyorsanız veya bunlara güvenmiyorsanız, tarafınızca acil bir işlem yapılması gerekmemektedir.