Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en un carácter @ en valores POST en el archivo OAuth/Curl.php en la función fetch en Dropbox-PHP, usado en ownCloud Server (CVE-2015-4715)

Gravedad CVSS v3.1:
MEDIA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
17/02/2020
Última modificación:
31/03/2025

Descripción

La función fetch en el archivo OAuth/Curl.php en Dropbox-PHP, como es usado en ownCloud Server versiones anteriores a 6.0.8, versiones 7.x anteriores a 7.0.6 y versiones 8.x anteriores a 8.0.4, cuando un almacenamiento externo de Dropbox ha sido montado, permite a administradores remotos de Dropbox.com leer archivos arbitrarios por medio de un carácter @ (en el signo) en valores POST no especificados.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:owncloud:owncloud:*:*:*:*:*:*:*:* 6.0.8 (excluyendo)
cpe:2.3:a:owncloud:owncloud_server:*:*:*:*:*:*:*:* 7.0.0 (incluyendo) 7.0.6 (excluyendo)
cpe:2.3:a:owncloud:owncloud_server:*:*:*:*:*:*:*:* 8.0.0 (incluyendo) 8.0.4 (excluyendo)