Critical WID-SEC-2026-0628 1 CVE

Nextcloud Flow: Schwachstelle ermöglicht Ausführen von beliebigem Programmcode mit Administratorrechten

Published Mar 5, 2026 · Updated Apr 6, 2026 · Revision 3 · de-DE

Vendor: Nextcloud Product: Nextcloud Platform: Linux Platform: Windows

Summary

Ein Angreifer kann eine Schwachstelle in Nextcloud Flow ausnutzen, um beliebigen Programmcode mit Administratorrechten auszuführen.

Product

Nextcloud ist eine "on-premise" Plattform für Dateifreigabe und Zusammenarbeit.

Vulnerabilities 1

Medium 6.9

CVE-2026-29059 Public exploit Scanner template

Windmill: SUPERADMIN_SECRET (rarely used) can be accessed publicly

Windmill is an open-source developer platform for internal code: APIs, background jobs, workflows and UIs. Prior to version 1.603.3, an unauthenticated path traversal vulnerability exists in Windmill's get_log_file endpoint "(/api/w/{workspace}/jobs_u/get_log…

windmill-labs windmill

Mar 6, 2026

Revision history

2026-04-06 #3
Exploit aufgenommen
2026-03-08 #2
Referenz(en) aufgenommen: EUVD-2026-10017
2026-03-05 #1
Initiale Fassung

References

NextCloud Security Advisory vom 2026-03-05
https://github.com/nextcloud/security-advisories/security/advisories/GHSA-g7vj-98x3-qvjf
Windfall exploit chain vom 2026-04-06
https://github.com/Chocapikk/Windfall