CVE-2025-66512CVE-2025-66512是Nextcloud Server中的一个中等严重性安全漏洞。该漏洞存在于Nextcloud Server及其企业版31.0.12和32.0.3之前的版本中，由于对上传的SVG文件缺少适当的输入清理和内容安全策略执行，攻击者可以绕过内容安全策略（CSP）限制。当恶意用户成功上传包含恶意代码的SVG文件，并诱骗目标用户在Nextcloud服务器网页环境之外查看这些文件时，攻击者可以执行跨站脚本攻击（XSS）或其他恶意操作。此漏洞的CVSS评分为5.4，属于中危级别，需要用户交互才能成功利用，攻击向量为网络，攻击复杂度低，无需认证即可实施攻击。
该漏洞的核心问题在于Nextcloud Server对用户上传的SVG文件缺乏充分的输入验证和安全过滤。SVG（可缩放矢量图形）文件本质上是XML格式，可以包含JavaScript代码。攻击者可以构造包含恶意脚本的SVG文件，当该文件在浏览器中直接打开或被引用时，SVG中的JavaScript代码将执行，从而实现跨站脚本攻击（XSS）。由于Nextcloud未能在上传和处理SVG文件时实施严格的内容安全策略，恶意用户可以绕过CSP的保护机制。攻击成功的关键条件是：1）攻击者需要能够上传SVG文件到Nextcloud服务器；2）攻击者需要诱骗目标用户在服务器网页环境之外（如新标签页直接打开或通过外部链接）查看该SVG文件；3）目标用户需要与恶意SVG文件产生交互。CVSS向量显示该漏洞对机密性和完整性有低影响，对可用性无影响。