CVE-2025-66515 是 Nextcloud Approval app 中的一个权限提升漏洞。攻击者可以利用此漏洞，在工作流中被列为请求者的认证用户，无需访问文件，即可将其他用户的文件的状态设置为“待审批”。此漏洞影响 Nextcloud Approval app 2.0.0 及以上，小于 2.5.0 的版本。该漏洞已在 1.3.1 和 2.5.0 版本中修复。
该漏洞允许攻击者在 Nextcloud 环境中进行未经授权的文件状态修改，可能导致数据混乱和潜在的安全风险。攻击者可以利用此漏洞，将其他用户的文件的状态设置为“待审批”，从而影响正常的工作流程，并可能导致数据丢失或泄露。虽然CVSS评分为低，但如果攻击者能够利用此漏洞批量修改文件状态，可能会对整个 Nextcloud 实例造成影响。该漏洞的利用需要攻击者在工作流中具有请求者权限，因此攻击范围可能受到一定限制。
目前尚未发现公开的漏洞利用程序 (PoC)。该漏洞已于 2025 年 12 月 5 日公开披露。由于 CVSS 评分为低，且尚未发现公开的 PoC，因此目前被认为具有较低的利用概率。CISA 尚未将其添加到 KEV 目录。
漏洞利用状态
EPSS
0.02% (5% 百分位)
CISA SSVC
CVSS 向量
为了缓解 CVE-2025-66515 的风险，建议立即升级 Nextcloud Approval app 到 2.5.0 或更高版本。如果无法立即升级，可以考虑限制工作流中请求者的权限，并定期审查工作流配置，以确保没有不必要的权限授予。此外，可以实施严格的文件访问控制策略，以限制用户对敏感文件的访问。升级后，请确认升级是否成功，并检查 Nextcloud Approval app 的配置是否正确。
将 Nextcloud Approval 应用更新到 1.3.1 或更高版本，或 2.5.0 或更高版本。这将修复允许未经授权的用户更改文件审批状态的漏洞。可以通过 Nextcloud 管理界面进行更新。
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2025-66515 是 Nextcloud Approval app 中的一个权限提升漏洞，允许认证用户在无需访问文件的情况下将其他用户的文件的状态设置为“待审批”。
如果您正在使用 Nextcloud Approval app 2.0.0 及以上，小于 2.5.0 的版本，则可能受到此漏洞的影响。
建议立即升级 Nextcloud Approval app 到 2.5.0 或更高版本。
目前尚未发现公开的漏洞利用程序，但建议尽快修复以降低风险。
请访问 Nextcloud 官方安全公告页面，搜索 CVE-2025-66515 以获取更多信息。