Exécution de code à distance affectant Collabora Online Built-in CODE Server
Une vulnérabilité affectant Collabora Online Built-in CODE Server (application Nextcloud richdocumentscode) permettrait à un attaquant non authentifié d'exécuter du code arbitraire à distance sur les systèmes affectés.
Description
Contexte technique et détails de la vulnérabilité
Collabora Online Built-in CODE Server est un composant intégré à l'application Nextcloud, permettant l'édition collaborative de documents. Ce produit est affecté par une vulnérabilité libellée CVE-2026-110447, résultant d'une injection de commandes système dans le script proxy.php, qui relaie les requêtes HTTP entre Nextcloud et le serveur CODE local. Son exploitation permettrait à un attaquant non authentifié d'exécuter des commandes arbitraires sur le système avec les privilèges du serveur web. L'exploitation n'est possible que lorsque le serveur CODE n'est pas en cours d'exécution, notamment après un redémarrage. Elle est classée critique avec un score de sévérité de 9.2 selon le CVSS V4.0.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Exécution de code arbitraire à distance ;
- Atteinte à l'intégrité du système ;
- Atteinte à la confidentialité des données ;
- Atteinte à l'intégrité des données.
Systèmes affectés
Produits, composants et versions concernés
- Collabora Online Built-in CODE Server (application Nextcloud richdocumentscode) versions antérieures à 26.4.303.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Mettre à jour Collabora Online Built-in CODE Server (application Nextcloud richdocumentscode) vers la version 26.4.303 ou supérieure.
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.