Nextcloud Server 多項高風險漏洞，請更新至最新維護版
Nextcloud 於 2026 年 8 月至 10 月公開三項 Nextcloud Server 高風險漏洞。
-
-
Nextcloud 內建 Collabora CODE 伺服器指令注入漏洞已遭利用
Nextcloud 的「Collabora Online – Built-in CODE Server」應用程式（richdocumentscode）在內建 CODE 伺服器未執行時（例如剛重新啟動、升級或當機），未經驗證的攻擊者可透過 proxy.php 以網頁伺服器帳號執行系統指令。
-
Collabora Online 未驗證轉檔可執行巨集，請更新
Collabora Online 未經驗證的 /cool/convert-to 文件轉換端點，會接受用戶端送出的 infilterOptions 欄位，且其優先順序高於伺服器端設定，攻擊者可藉此在轉檔時啟用文件巨集。
-
Nextcloud 34 發布，Nextcloud 32 將於 9 月停止支援
Nextcloud 於 2026 年 6 月發布 Nextcloud 34（Hub 26 Spring），一般維護期至 2027 年 6 月。
-
Nextcloud 行事曆、User OIDC、Tables 高風險漏洞
Nextcloud 於 2026 年 5 月 12 日至 13 日公開四項高風險漏洞公告。
-
Nextcloud Flow 遠端程式碼執行漏洞，已於 1.3.0 修正
Nextcloud Flow 是以外部應用程式（ExApp，透過 AppAPI 以容器執行）提供的流程自動化功能，內含 Windmill。
-
Nextcloud 33 發布，31 社群版於 2026 年 2 月結束支援
Nextcloud 於 2026 年 2 月 18 日發布 Nextcloud 33（Nextcloud Hub 26 Winter），社群版支援至 2027 年 2 月。
-
Nextcloud 內建 Collabora CODE 伺服器 proxy.php 指令注入漏洞，請更新至 25.04.702
Nextcloud 的「Collabora Online – Built-in CODE Server」應用程式（richdocumentscode）在特定設定下有作業系統指令注入漏洞：若 Nextcloud 前方的反向代理伺服器不安全地信任 X-Forwarded-Host 標頭，攻擊者可透過 proxy.php 在主機上執行系統指令。