Lo stop del server locale apre la porta alla web shell
Collabora ha corretto in richdocumentscode una command injection che diventa sfruttabile quando il server locale CODE non è in esecuzione, e ora la falla è confermata in exploitation reale. La correzione è nella versione 26.4.303; gli ambienti self-hosted di Nextcloud che usano il built-in CODE Server sono il bersaglio diretto.
Il punto debole è il momento in cui il servizio interno deve riavviarsi o ripartire dopo un crash. In quella finestra, una richiesta non autenticata può finire dentro un comando di shell costruito dal componente stesso, e l’esito è una web shell che gira con l’account del web server sull’host Nextcloud. Disabilitare l’app non basta se il componente resta presente.
Per chi gestisce Nextcloud con questo modulo, il rischio non nasce dall’uso continuo ma dalle interruzioni di servizio normali: manutenzione, upgrade e crash. La lettura pratica è semplice: il downtime del CODE locale non è neutralità, è esposizione.