CVE-2026-61639 in Wallos
الملخص
بحسب VulDB • 31/08/2026
Wallos هو متتبع اشتراكات شخصي مفتوح المصدر وقابل للاستضافة الذاتية. قبل الإصدار 4.9.6، يستدعي المسار POST /endpoints/db/restore.php الدالة ZipArchive::extractTo() دون التحقق من أسماء الإدخالات بحثاً عن تسلسلات ../. يقوم المسؤول بتحميل ملف zip مُعدّ خصيصاً يحتوي على إدخال logos/../../endpoints/shell.php لكتابة webshell إلى الجذر الرئيسي للموقع (webroot). ينطبق فلتر الامتداد فقط على خطوة نسخ الشعارات بعد الاستخراج. تم إصلاح هذه المشكلة في الإصدار 4.9.6.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.