🔥 Щойно натрапив на історію, яка може боляче вдарити по тим, хто крутить ownCloud у проді. Якщо у вас стоїть інтеграція ONLYOFFICE — це саме той випадок, коли краще вимкнути сьогодні, ніж розбирати завал завтра.

CERT/CC попереджає про SSRF-вразливість у плагіні ONLYOFFICE для ownCloud 9.12 (CVE-2026-84282). Автентифікований адмін може змусити сервер ownCloud ходити по будь-яких URL, включно з localhost і внутрішніми сервісами 🚨. Офіційного патча немає, вендор мовчить — виглядає це все, м’яко кажучи, некомфортно.

Мій чекліст мінімуму: 1) негайно вимкнути/видалити плагін ONLYOFFICE, 2) урізати вихідний трафік ownCloud фаєрволом (тільки потрібні зовнішні адреси, ніяких внутрішніх/127.0.0.1) 🧱. Якщо залишите — хоча б слідкуйте за зверненнями до /apps/onlyoffice/ajax/settings/address і перегляньте адмінські акаунти 🔍. Мені здається, це той кейс, де «та нічого не станеться» може дуже погано закінчитися. Ви б у себе відключили цей плагін чи почекали б на патч?

🤔

🔗 Докладніше:
https://cybersecurefox.com/uk/ssrf-onlyoffice-owncloud-plugin-cve-2026-84282

#безпека #owncloud #onlyoffice #ssrf #cve #адміни

CyberSecureFox