CVE-2026-77164 in Server
Zusammenfassung
von VulDB • 18.09.2026
Die Überprüfung der Signatur für Remote-Instanzen in Circles ruft die vom Angreifer bereitgestellte keyId-URL ab, bevor das Vertrauen in die Remote-Instanz hergestellt wird, und erlaubt explizit lokale/private Adressen für diese Anfrage, wodurch Nextclouds Kern-Schutzmaßnahmen gegen SSRF umgangen werden. Die öffentlichen, nicht authentifizierten Endpunkte POST /apps/circles/event/ und POST /apps/circles/incoming/ erreichen diesen Codepfad, sodass jeder nicht authentifizierte Benutzer den Server dazu zwingen kann, eine GET-Anfrage an eine interne Adresse zu senden.
Der Antwortkörper der internen Anfrage wird niemals an den Anfordernden zurückgegeben, daher handelt es sich um ein blindes SSRF: Ein Angreifer kann feststellen, ob ein interner Dienst erreichbar ist, aber seine Antwortinhalte können über diesen Endpunkt allein nicht gelesen werden.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.