Scope of workflow operations is not validated in nextcloud server

Nextcloud Server no validó correctamente los permisos de usuario al crear flujos de trabajo, permitiendo que usuarios ordinarios crearan flujos diseñados solo para administradores. Esto es grave porque algunos flujos pueden ejecutar comandos en el servidor, permitiendo ataques de ejecución remota de código.

Validación de alcance ausente en operaciones de flujo de trabajo (CWE-78). Usuarios sin privilegios de administrador pueden crear flujos con capacidades restringidas, resultando potencialmente en RCE a través de apps workflow_scripts o workflow_pdf_converter que ejecutan scripts o webhooks en el servidor. El impacto depende de las aplicaciones activas, variando desde divulgación de información hasta compromiso total del servidor.