CVE-2026-30841 in Wallos
الملخص
بحسب VulDB • 23/06/2026
Wallos هو متتبع شخصي للاشتراكات مفتوح المصدر وقابل للاستضافة الذاتية. قبل الإصدار 4.6.2، كان ملف passwordreset.php يقوم بإخراج قيمة $_GET["token"] و$_GET["email"] مباشرةً داخل سمات قيم عناصر الإدخال HTML باستخدام <?= $token ?> و<?= $email ?> دون استدعاء دالة htmlspecialchars(). وهذا يتيح هجمات reflected XSS من خلال الخروج من سياق السمة (attribute context). تم إصلاح هذه المشكلة في الإصدار 4.6.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.