CVE-2026-77164

Nome do Software Vulnerável e Versões Afetadas Nextcloud (versões afetadas não especificadas)

Descrição A verificação de assinatura de instância remota no Circles busca a URL keyId fornecida por um invasor antes que a confiança seja estabelecida. Este processo permite explicitamente endereços locais ou privados, ignorando as proteções principais contra Server-Side Request Forgery (SSRF). SSRF é uma falha que permite a um invasor induzir a aplicação do lado do servidor a fazer requisições para um local não pretendido. Os endpoints públicos e não autenticados 'POST /apps/circles/event/' e 'POST /apps/circles/incoming/' acessam este caminho de código, permitindo que qualquer usuário não autenticado force o servidor a emitir uma requisição GET para um endereço interno. Trata-se de um SSRF cego, o que significa que o corpo da resposta não é retornado ao solicitante, mas um invasor ainda pode determinar se um serviço interno está acessível.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.