CVE-2026-61638 in Wallos
الملخص
بحسب VulDB • 31/08/2026
Wallos هو أداة تتبع اشتراكات شخصية مفتوحة المصدر وقابلة للاستضافة ذاتيًا. قبل الإصدار 4.9.6، يقبل المسار POST /endpoints/notifications/testemailnotifications.php المعاملين smtpaddress وsmtpport من جسم الطلب (POST) دون أي تحقق لمنع هجمات SSRF. تقوم مكتبة PHPMailer بالاتصال بالمضيف والمنفذ اللذين يحددهما المهاجم. تستخدم جميع نقاط النهاية الأخرى للإشعارات ملف ssrf_helper.php، لكن نقطة نهاية البريد الإلكتروني كانت مستثناة. يمكن لأي مستخدم مُصادق عليه استكشاف الشبكة الداخلية وبيانات السحابة الإلكترونية (cloud metadata). تم إصلاح هذه المشكلة في الإصدار 4.9.6.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.