CVE-2026-33400 in Wallos
الملخص
بحسب VulDB • 09/05/2026
Wallos هو متتبع شخصي للاشتراكات مفتوح المصدر وقابل للاستضافة الذاتية. قبل الإصدار 4.7.0، كان هناك ثغرة تخزين عبر المواقع (Stored XSS) في نقطة نهاية إعادة تسمية طريقة الدفع تتيح لأي مستخدم مصادق عليه حقن كود JavaScript عشوائي يتم تنفيذه عند زيارة أي مستخدم لصفحات الإعدادات (Settings)، أو الاشتراكات (Subscriptions)، أو الإحصائيات (Statistics). وبدمج ذلك مع عدم وجود علم HttpOnly على ملف تعريف الارتباط للمصادقة wallos_login، يمكن ذلك من اختطاف الجلسة بالكامل. تم إصلاح هذه المشكلة في الإصدار 4.7.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.