Betroffen ist der integrierte CODE-Server von Collabora Online, der als App in Nextcloud die Online-Bearbeitung von Dokumenten bereitstellt. In der Proxy-Komponente dieser App steckt eine Schwachstelle, die das Einschleusen von Betriebssystembefehlen erlaubt: Über das Proxy-Skript lassen sich Eingaben so präparieren, dass sie auf dem Server als Befehle ausgeführt werden. Dadurch kann ein Angreifer aus der Ferne beliebigen Code mit den Rechten des Webdienstes ausführen und damit potenziell auf gespeicherte Dokumente und weitere Daten der Nextcloud-Instanz zugreifen. Ob eine Installation tatsächlich angreifbar ist, hängt von der Konfiguration ab – ausnutzbar ist der Fehler insbesondere dann, wenn der Anfrage ein zwischengeschalteter Reverse-Proxy vorgelagert ist. Betroffen sind Nextcloud-Installationen, die den eingebauten CODE-Server statt eines separat betriebenen Collabora-Servers verwenden.