Dromara Skyeye: SSRF und fehlende Autorisierung im OnlyOffice-Callback
Zusammenfassung
Dromara Skyeye, eine Open-Source-Java-Plattform mit Dateiablage, enthält im OnlyOffice-Speicher-Callback (editUploadOfficeFileById) eine Schwachstelle für Server-Side Request Forgery und fehlende Autorisierung, bis einschliesslich Commit 003549ae5615bd114ba5bb8ddf6a8e8ead97c321. Ein nicht authentifizierter Angreifer kann den Server interne URLs abrufen lassen und die gespeicherte Datei eines beliebigen Benutzers überschreiben, anschliessend das Ergebnis auslesen. Relevant ist dies nur, wenn eine Skyeye-Instanz betrieben wird und aus nicht vertrauenswürdigen Netzen erreichbar ist.
Betroffen
- Skyeye bis einschliesslich Commit 003549ae5615bd114ba5bb8ddf6a8e8ead97c321 (alle früheren Commits)
- Keine Release-Versionsnummern identifiziert
Behoben in
Unbekannt. Es wurde kein Herstellerfix oder Patch-Commit veröffentlicht.
Umgehung
- Kein Workaround des Herstellers bekannt
- Instanz nicht im Internet exponieren; VPN oder authentifizierten Proxy verwenden
- Callback-Pfad für OnlyOffice am Reverse Proxy aus nicht vertrauenswürdigen Netzen sperren
- Ausgehende Verbindungen vom Applikationsserver einschränken
Ausnutzung
- CISA SSVC: Exploitation none, nicht automatisierbar, total technische Auswirkung
- Nicht als aktiv ausgenutzt (KEV) gelistet; kein bestätigter Einsatz in freier Wildbahn gefunden
- Technische Details sind im Issue des Meldenden öffentlich
Unsere Empfehlung
- Asset-Inventar auf Skyeye prüfen, inklusive Deployments aus Git-Repositories
- Falls gefunden und aus dem Internet erreichbar: sofort offline nehmen oder Zugriff einschränken
- Dateiintegrität, Logs und Backups prüfen; Backups offline oder unveränderbar aufbewahren
- Zusätzlich die Folge-CVEs CVE-2026-107780 (OS Command Injection) und CVE-2026-107779 (fehlende Authentifizierung im xxl-job-Endpoint) bewerten
- GitHub-Issue auf einen Fix beobachten; Produkt bis dahin als ungepatcht behandeln
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Dromara Skyeye GitHub repository github.com
- Vulnerable code at commit 003549ae github.com
- GitHub issue #29 (reporter's report) github.com
- VulnCheck advisory www.vulncheck.com
- OSV entry CVE-2026-107781 osv.dev
- VulDB entry vuldb.com
- Strix CVE overview www.strix.ai
- CVE record (CVEProject cvelistV5) raw.githubusercontent.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 07:12.
Referenzen der NVD (4)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.