CVE-2023-49103

ownCloud owncloud/graphapi'nin 0.2.1 öncesindeki 0.2.x ve 0.3.1 öncesindeki 0.3.x sürümlerinde bir sorun tespit edilmiştir. graphapi uygulaması, bir URL sağlayan üçüncü taraf bir GetPhpInfo.php kütüphanesine dayanmaktadır. Bu URL'ye erişildiğinde, PHP ortamının yapılandırma detayları (phpinfo) açığa çıkmaktadır. Bu bilgiler, web sunucusunun tüm ortam değişkenlerini içermektedir. Konteyner tabanlı dağıtımlarda bu ortam değişkenleri; ownCloud yönetici parolası, posta sunucusu kimlik bilgileri ve lisans anahtarı gibi hassas veriler içerebilir. graphapi uygulamasını devre dışı bırakmak tek başına güvenlik açığını gidermemektedir. Ayrıca phpinfo, bir saldırgan tarafından sistem hakkında bilgi toplamak için kullanılabilecek çeşitli diğer potansiyel hassas yapılandırma ayrıntılarını da ortaya çıkarmaktadır. Bu nedenle, ownCloud konteyner tabanlı bir ortamda çalışmasa bile bu güvenlik açığı endişe kaynağı olmaya devam etmektedir. Şubat 2023 öncesindeki Docker konteynerlerinin kimlik bilgisi ifşasına karşı savunmasız olmadığına dikkat edilmelidir.