NextcloudNextcloud Flow 是以外部應用程式（ExApp，透過 AppAPI 以容器執行）提供的流程自動化功能，內含 Windmill。Flow 1.3.0 之前的版本所附的 Windmill 有漏洞，未經驗證的攻擊者可取得 SUPERADMIN_SECRET 並以超級管理員身分登入，進而讀取容器內檔案、取得管理員權杖，最後在 Flow 容器內以 root 身分執行程式。VulnCheck 自 2026 年 7 月起觀察到針對 Windmill 與 Nextcloud 代理路徑的攻擊活動。未安裝 Flow 應用程式的 Nextcloud 不受影響。
影響版本
- Nextcloud Flow 1.0.0 至1.2.x1.3.0 之前的版本
已修正版本
- Nextcloud Flow1.3.0 及之後版本2026-01-13 發布
建議處理方式
- 確認是否安裝 Nextcloud Flow；若有，盡速更新至 1.3.0 或更新的版本
- 完成更新前，依原廠建議停用 Flow 外部應用程式、停止其容器，並確保容器不會自動重新啟動
- 曾對外開放且版本低於 1.3.0 者，檢查 Flow 中儲存的憑證與權杖並視需要更換
暫時無法更新時
- 停用 Flow 外部應用程式、停止其容器並確保不會重新啟動（原廠說明這是唯一的暫時解法）
如何確認是否受影響
- 於「應用程式」管理頁面或 AppAPI 的外部應用程式清單確認是否安裝 Flow 及其版本
- 於執行 ExApp 的 Docker 主機以 docker ps 確認是否有 Flow / Windmill 容器在執行
參考來源
本文依原廠與公開漏洞資料庫資訊整理，實際影響請以原廠公告為準。