Fider: Server-Side Request Forgery über Webhook-URLs

Zusammenfassung

Fider, ein selbst gehostetes Feedback-Portal, prüft Webhook-URLs vor dem Abruf durch den Server nur auf das Format. Ein Angreifer mit einem Administrator-Konto kann den Fider-Server HTTP-Anfragen an interne Dienste, localhost oder Cloud-Metadaten-Endpunkte senden lassen, wodurch interne Daten und Cloud-Zugangsdaten offengelegt werden können. Der CVSS-Vektor nennt niedrige Privilegien, die Beschreibung verlangt hingegen Administrator-Rechte; der CVSS-Score beträgt 7.1 (High).

Betroffen

• Fider-Versionen vor 0.34.0 (CNA: betroffen < 0.34.0)
• VulDB beschreibt den Bereich als bis 0.33.x

Behoben in

• 0.34.0 (Herstellerfix, PR #1494, GHSA-g445-xwm7-594r)
• Neueste Version empfohlen: Ein verwandtes DNS-Rebinding-Problem (CVE-2026-102877) soll in 0.38.0 behoben sein (nicht gegen die Herstellerseite geprüft)

Umgehung

Unbekannt. Kein Workaround des Herstellers dokumentiert. Übergangsmassnahmen bis zum Patch:

• Administrator-Rechte auf vertrauenswürdige Konten beschränken.
• Ausgehenden Verkehr vom Fider-Host auf interne Netze und Metadaten-Adressen (169.254.169.254) einschränken.
• Bestehende Webhooks auf unerwartete Ziele prüfen.

Ausnutzung

• Nicht bekanntermassen in freier Wildbahn ausgenutzt (keine Hinweise gefunden).
• Kein öffentlicher Proof of Concept gefunden; VulDB gibt an, dass kein Exploit verfügbar ist.
• NVD-Analyse ausstehend.

Unsere Empfehlung

• Fider auf die neueste Version aktualisieren, nicht nur auf 0.34.0.
• Administrator-Konten prüfen und nicht benötigte entfernen.
• Bestehende Webhook-URLs auf interne oder Metadaten-Ziele prüfen.
• Ausgehenden Verkehr vom Fider-Host einschränken und ungewöhnliche Anfragen überwachen.
• Priorität erhöhen bei Cloud-Instanzen oder wenn interne Dienste vom Host erreichbar sind.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-65967 www.cve.org
• GitHub Security Advisory GHSA-g445-xwm7-594r github.com
• Fider Release v0.34.0 github.com
• VulDB entry 435953 vuldb.com
• OffSeq Threat Radar: CVE-2026-65967 radar.offseq.com
• NixOS nixpkgs issue on related Fider SSRF fix github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 20:37.