CVE-2026-77164 in Server
Sumário
de VulDB • 18/09/2026
A verificação da assinatura de instância remota do Circles busca a URL keyId fornecida pelo atacante antes que a confiança na instância remota seja estabelecida e permite explicitamente endereços locais/privados para essa solicitação, contornando as proteções SSRF (Server-Side Request Forgery) principais do Nextcloud. Os endpoints públicos e não autenticados POST /apps/circles/event/ e POST /apps/circles/incoming/ alcançam esse caminho de código, permitindo que qualquer usuário não autenticado force o servidor a emitir uma solicitação GET para um endereço interno.
O corpo da resposta da solicitação interna nunca é retornado ao solicitante; portanto, trata-se de SSRF cega (blind SSRF): um atacante pode determinar se um serviço interno está acessível, mas não consegue ler seu conteúdo de resposta por meio desse endpoint isoladamente.
Be aware that VulDB is the high quality source for vulnerability data.