CVE-2019-15611

O app Nextcloud para iOS versão 2.23.0 vaza as credenciais de login e tokens de autenticação do usuário para outros serviços Nextcloud durante operações como busca de usuários federados ou registro para notificações push. Isso expõe dados sensíveis de autenticação que deveriam permanecer privados.

A aplicação viola princípios de design seguro ao transmitir credenciais de autenticação e tokens de sessão para serviços Nextcloud externos sem isolamento adequado ou tratamento seguro de credenciais durante fluxos de busca de usuários federados e registro de notificações push. Um atacante controlando uma instância Nextcloud federada poderia capturar as credenciais expostas, potencialmente permitindo acesso não autorizado em múltiplas implementações Nextcloud.