🇰🇷 한글 설명
Tables 앱의 공유 목록 조회 엔드포인트(GET /apps/tables/share/table/{tableId})가 요청자의 관리 권한을 확인하지 않아, 읽기 권한만 가진 사용자도 테이블의 공유 대상(사용자, 그룹, 팀)과 권한 수준을 조회할 수 있습니다. 웹 UI에서는 이 정보가 차단되지만 API를 직접 호출하면 노출됩니다. 테이블 데이터 자체는 읽기 권한 범위를 넘어 노출되지 않습니다.
💡 쉬운 설명
테이블을 읽기만 할 수 있는 사용자가 API를 직접 호출하면, 그 테이블을 누구와 공유했고 각각 어떤 권한을 주었는지 볼 수 있습니다. 실제 테이블 내용은 추가로 노출되지 않습니다.
🇺🇸 원문 (English)
The Tables app's share-listing endpoint (GET /apps/tables/share/table/{tableId}) did not verify that the requesting user has manage-level permission on the table before returning the full list of share recipients (users, groups, and teams) along with their permission levels. A user who was only granted read-data access to a table, and who is correctly prevented from seeing this information in the web UI, could call the endpoint directly to enumerate everyone the table is shared with and their access levels.
This does not expose the table's data itself beyond what the read-data grant already permits, only the list of share recipients and their permission levels.
📍 영향받는 시스템
Nextcloud Tables 앱 (취약 버전은 공식 보안 권고에서 확인 필요)
⚔️ 공격 벡터
읽기 권한이 있는 인증된 사용자가 GET /apps/tables/share/table/{tableId} 엔드포인트를 직접 호출하여 공유 대상 목록을 열거
🛡️ 대응 방법
Tables 앱을 패치된 최신 버전으로 업데이트하고, 공유 조회 엔드포인트에 관리 권한 검사를 적용
🔧 검증 코드
출력된 Tables 앱 버전을 Nextcloud 공식 보안 권고(CVE-2026-82983)에 명시된 패치 버전과 비교하여, 같거나 높으면 수정됨, 낮으면 취약합니다. 명령이 아무 결과도 내지 않으면 해당 경로에 앱이 설치되어 있지 않은 것입니다.
grep -A2 '"id" => .tables.' /var/www/nextcloud/apps/tables/appinfo/info.xml 2>/dev/null || grep -i '<version>' /var/www/nextcloud/apps/tables/appinfo/info.xml 2>/dev/null