Nextcloud Flow – Codeausführung als Root über die Windmill-Komponente
Über eine Schwachstelle in der Windmill-Komponente der Nextcloud-App 'Flow' können Angreifer ohne Anmeldung Administrator-Zugriff erlangen und Code als Root im Container ausführen. Ein öffentliches Exploit-Tool existiert. Flow 1.3.0 behebt das Problem.
Update vom 22. Oktober 2026
Wir haben die Einstufung an die Bewertung von Nextcloud angepasst (CVSS 8.8, High; bisher hier: Critical) und ergänzt, dass inzwischen ein öffentliches Exploit-Tool verfügbar ist.
Was ist passiert?
In der Automatisierungs-App "Flow" von Nextcloud steckt eine verwundbare Version der Workflow-Engine Windmill. Ein nicht angemeldeter Angreifer kann darüber das Super-Admin-Geheimnis von Windmill auslesen und sich als Super-Admin anmelden. Danach kann er Dateien lesen, die in windmill_users_config.json gespeicherten Admin-Tokens abgreifen und Code als Root im Container ausführen. Damit sind die angebundene Nextcloud-Instanz, ihre Dateien und Benutzerkonten gefährdet.
Nextcloud hat das Problem mit Flow 1.3.0 behoben (veröffentlicht am 13. Januar 2026, Advisory GHSA-g7vj-98x3-qvjf vom 6. März 2026). Inzwischen ist ein öffentliches Exploit-Tool ("Windfall") verfügbar, das die Lücke ausnutzt.
Wen betrifft es?
- KMU, die Nextcloud selbst hosten und die App "Flow" vor Version 1.3.0 nutzen
- IT-Dienstleister in CH/FL, die Nextcloud-Instanzen für Kunden betreiben
- Wer Windmill eigenständig betreibt: betroffen sind Windmill-Versionen vor 1.603.3
- Besonders exponiert: Instanzen, die aus dem Internet erreichbar sind
Was ist zu tun?
- Updaten: Aktualisiere die Flow-App auf Version 1.3.0 oder neuer, über den Nextcloud App Store oder per CLI (
occ app:update flow). Eigenständige Windmill-Installationen aktualisierst du auf 1.603.3 oder neuer. - Falls kein sofortiges Update möglich ist: Deaktiviere die Flow-App in den Nextcloud-Einstellungen und stoppe den zugehörigen Windmill-Container.
- Auf Kompromittierung prüfen: Prüfe die Zugriffslogs, ob bereits unbefugt auf Windmill oder die Datei
windmill_users_config.jsonzugegriffen wurde. Erneuere im Zweifel die Admin-Tokens und Zugangsdaten. - Härten: Konfiguriere die Nextcloud-Instanz nach den Hardening-Empfehlungen von Nextcloud.
Dieses Advisory dient der Information. Für eine Sicherheitsprüfung deiner Nextcloud-Instanz kontaktiere uns.
Bereit, deine Angriffsfläche zu kennen?
Erzähl uns kurz von deinem Vorhaben. Wir melden uns mit einem konkreten Vorschlag.
Erstgespräch anfragen