Upstream-CVE-Status (ownCloud 10.16.x) #

Maintained by BW-Tech GmbH. Stand: 11. Juni 2026.

Dieses Dokument beantwortet die Frage, ob die Fixes der ownCloud-Server-Releases 10.16.0 bis 10.16.3 (inklusive der CVE-Fixes) in ownCloud.online 11.0.2 enthalten sind. Es dient als technische Bestätigung für Kunden- und Partneranfragen.

Fork-Basis #

ownCloud.online wurde nicht bei ownCloud 10.15.3 geforkt. Die Code-Basis entspricht dem upstream owncloud/core master-Stand vom 17. Februar 2026 (Commit 8b013714aa8). Dieser Stand liegt nach der Substanz der Releases 10.16.0, 10.16.1 und 10.16.2. Per git merge-base --is-ancestor ist belegt, dass sämtliche Fix-Commits dieser Releases Vorfahren unseres main sind.

Status je Release #

10.16.0 und 10.16.1 — vollständig enthalten (Fork-Basis) #

10.16.2 — vollständig abgedeckt #

Enthielt ausschließlich Dependency-Updates (u. a. phpseclib 3.0.50). ownCloud.online liefert phpseclib 3.0.52 aus — neuer als 10.16.2.

10.16.3 — vollständig nachgezogen am 11.06.2026 #

Zusätzlich behoben (über 10.16.3 hinaus) #

composer audit meldete drei weitere Advisories, die upstream OC10 über die Symfony-5.4.52-Bumps abdeckt und die wir auf unseren neueren Zweigen nachgezogen haben:

composer audit war nach dem 11.06.2026 zunächst ohne Befund; am 16.–18.06.2026 neu veröffentlichte Dependency-Advisories siehe folgende Sektion.

Neue Dependency-Advisories — 22.06.2026 nachgezogen #

Nach dem 11.06. neu veröffentlichte Advisories (Reported 16.–18.06.2026), per composer audit erkannt und durch Patch-Bumps innerhalb der bestehenden Constraints (guzzle ^7.10, phpseclib ^3.0, psr7 transitiv) geschlossen:

composer audit ist seit dem 22.06.2026 wieder ohne Befund; ein blockierender CI-Job (composer audit --locked) sichert den Stand künftig automatisch ab.

Frontend-Bibliotheken (SEC-07, 22.06.2026) #

build/package.json erbt alte Frontend-Libs aus dem Upstream. core/vendor ist committet und wird verbatim ausgeliefert (der Build-postinstall-Symlink ist ein No-op, solange core/vendor existiert) — Patches an core/vendor sind also durable.

Durability-Caveat: ein make clean-nodejs-deps + Rebuild würde core/vendor aus unpatchtem yarn neu befüllen → jQuery-Patch dann erneut anwenden (oder auf jQuery 3.5+ migrieren). Der jQuery-Fix ist gegen den offiziellen 3.5.0-Fix geprüft, aber wegen fehlendem JS-Test-Netz (Karma-Suite defekt) nicht laufzeit-verifiziert.

Upstream-master-Delta (über 10.16.3 hinaus) #

Das komplette Delta zwischen Fork-Basis und upstream master wurde am 11.06.2026 per git cherry (Patch-Äquivalenz) gesichtet. Zusätzlich zu den 10.16.3-Fixes übernommen:

Bewusst nicht übernommen (geprüft, nicht sicherheitsrelevant): Oracle-Removal (95e3cdec2bd, bei uns toter Code ohne Wirkung), mod_php8-IfModule (a43e3e8ebbd, unter PHP-FPM inert), CI-/Changelog-/Übersetzungs- und Dev-Dependency-Commits.

Einordnung gegenüber ownCloud 10.16.3 / 11.0.0 #

• ownCloud 10.x fährt die Symfony-Komponenten auf dem 5.4-LTS-Zweig; ownCloud.online liefert die 7.4er/8.0er-Zweige mit denselben oder neueren Security-Fixes aus.
• Upstream-Fixes, die nach unserem Fork-Punkt auf owncloud/core master erscheinen, werden regelmäßig gesichtet und per Cherry-pick übernommen (Quell-Commits sind in den Commit-Messages dokumentiert, siehe "cherry picked from commit ...").

Prüfbefehl #

git fetch upstream-owncloud-core --tags
git merge-base --is-ancestor <upstream-fix-sha> main && echo enthalten
composer audit