CVE-2026-77164 in Server
Сводка
по VulDB • 18.09.2026
Проверка подписи удаленного экземпляра в Circles загружает предоставленный злоумышленником URL с идентификатором ключа (keyId) до установления доверия к удаленному экземпляру и явно разрешает локальные/частные адреса для этого запроса, обходя основные защиты Nextcloud от SSRF. Публичные эндпоинты без аутентификации POST /apps/circles/event/ и POST /apps/circles/incoming/ достигают данного пути выполнения кода, позволяя любому неавторизованному пользователю принудительно заставить сервер отправить GET-запрос на внутренний адрес.
Тело ответа внутреннего запроса никогда не возвращается запрашивающей стороне, поэтому это слепая SSRF: злоумышленник может определить, доступен ли внутренний сервис, но не может прочитать содержимое его ответа исключительно через этот эндпоинт.
If you want to get best quality of vulnerability data, you may have to visit VulDB.