机构
Collabora
Collabora Online 项目在 GitHub 发布的安全通告。
本版条目
通告
CISA 将 Collabora Online 内置 CODE 服务器 CVE-2026-110447（CVSS 9.2）列入 KEV：Nextcloud 场景下未认证命令注入已遭活跃利用
Collabora 于 10 月 14 日发布安全通告 GHSA-g3vx-3m76-fghh，称 Nextcloud 应用「Collabora Online - Built-in CODE Server」（包名 richdocumentscode）在 CODE 本地文档服务未运行时，proxy.php 存在操作系统命令注入（CWE-78），CVSS 4.0 为 9.2，可致以 Web 服务账户执行命令；仅该内置部署受影响，独立 Collabora Online 服务器不受影响，禁用应用不足以防范，须升级至 26.4.303 或移除。厂商与社区称该漏洞在 9–10 月已遭利用；CISA 于 10 月 23 日将其加入已知被利用漏洞（KEV）目录，并按 BOD 26-04 要求联邦民用行政部门优先处置，截止日期约 10 月 26 日。