CVE-2026-104189

Przeglądarka 3D dla Nextcloud to wszechstronna aplikacja do przeglądania modeli 3D dla Nextcloud, która obsługuje wiele formatów plików 3D. W wersjach od 1.7.9 do 3.3.1 punkt końcowy pliku publicznego aplikacji nie przeprowadzał autoryzacji udostępniania. Każdy, kto zna token udostępniania, może odczytać zawartość udostępnionego pliku, nawet jeśli udostępniony link był chroniony hasłem. `PublicFileController` extended `OCP\AppFramework\Controller` and marked its routes `#[PublicPage]`. Nextcloud only enforces share passwords through `PublicShareMiddleware`, which returns early for any controller that is not an `OCP\AppFramework\PublicShareController` instance — so no password, expiry, or share-type check ran for these routes. Funkcja „ShareFileService::loadLinkShare()” skomplikowała ten problem, traktując każdy token dopasowany przez funkcję „getShareByToken()” jako autoryzowany. Token udostępniania to część adresu URL, którą ludzie wklejają do czatów, e-maili i zgłoszeń. Ochrona hasłem istnieje właśnie w przypadku, gdy posiadanie tokena samo w sobie nie powinno zapewniać dostępu, a gwarancja ta nie została zachowana. Requests to `GET /ocs/v2.php/apps/threedviewer/public/file/{token}/{fileId}` returned `200` with the full file body for password-protected shares, with no password and no session. Własna strona udostępniania Nextcloud poprawnie przekierowywała takie żądania do pytania o hasło. Zakres jest ograniczony do plików w formatach obsługiwanych przez tę aplikację (STL, GLB/glTF, OBJ, STEP, IFC i inne obsługiwane typy 3D). Nie ma to wpływu na pliki inne niż 3D w tym samym udziale. Wygasłe akcje zwracały „500”, zamiast ujawniać zawartość. Ten problem został rozwiązany w wersji 3.3.2. `PublicFileController` now extends `PublicShareController` and implements `isValidToken()`, `isPasswordProtected()`, and `getPasswordHash()`, delegating password and token validation to the framework and gaining brute-force throttling. `ShareFileService::findValidLinkShare()` additionally rejects share types other than link and email, rejects expired shares, and treats a `ShareNotFound` from the share manager as "no share" instead of letting it surface as a 500. As a workaround, disable the 3D Viewer app (`occ app:disable threedviewer`), or avoid relying on passwords to protect link shares that contain 3D model plików, dopóki nie będzie można dokonać aktualizacji.