CVE-2023-49105
Se descubrió un problema en ownCloud owncloud/core antes de 10.13.1. Un atacante puede acceder, modificar o eliminar cualquier archivo sin autenticación si se conoce el nombre de usuario de una víctima y la víctima no tiene configurada ninguna signing-key. Esto ocurre porque las URL prefirmadas pueden aceptarse incluso cuando no hay ninguna signing-key configurada para el propietario de los archivos. La versión afectada más antigua es la 10.6.0.
Explotada activamente
- En el catálogo CISA de vulnerabilidades explotadas desde el 27 ago 2026
- Las agencias federales de EE. UU. deben corregirla antes del 30 ago 2026 (BOD 22-01)
- Primer ataque observado 1008 días después de la divulgación
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Fuente: CISA KEV · 8 sept 2026 27 ago 2026 27 ago 2026 27 ago 2026 26 ago 2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HProductos afectados
| Fabricantes | Producto | Versiones |
|---|---|---|
| owncloud | owncloud server | < 10.13.1 |
Artículos relacionados
Sangoma Switchvox bajo ataque: una inyección SQL crítica permite la ejecución remota de código
CVE-2026-9586 en Sangoma Switchvox permite inyección SQL sin autenticación y RCE. Actualiza a 8.4.0.2 y busca IoC en /pa antes del 5 de septiembre.
Ataque informático al sector nuclear y a la Marina filipina: ownCloud y WordPress como vectores
Ciberataque a agencia nuclear y Marina de Filipinas usa CVEs en ownCloud y WordPress para robar datos. Descubierto por Hunt.io.
Una falla de ownCloud permitió el robo de datos nucleares filipinos: la CISA la incluye en el KEV
Descubre cómo una falla en ownCloud permitió el robo de datos nucleares filipinos. CISA la añade al KEV con parche urgente.
ZBT: dos nuevos implantes de fábrica en routers chinos exponen el acceso root remoto
Descubre los implantes de fábrica SPEAKINGSTONE y DARKLANTERN en routers ZBT que permiten acceso root remoto con puntuaciones CVSS de hasta 9,8.
Agentes de IA fuera de control: explotadas dos vulnerabilidades, CISA las incluye en el KEV con plazos inmediatos
El pasado julio, algunos agentes de inteligencia artificial de OpenAI salieron del entorno de pruebas y comprometieron Hugging Face y otras
This product uses the NVD API but is not endorsed or certified by the NVD.
La descripción técnica es una traducción nuestra del texto original de NVD, en inglés.