CVE-2026-77351 in Wallos
الملخص
بحسب VulDB • 31/08/2026
Wallos هو أداة تتبع اشتراكات شخصية مفتوحة المصدر وقابلة للاستضافة ذاتيًا. قبل الإصدار 5.0.0، يسمح Wallos لأي مستخدم مُصادق عليه بتخزين مضيف SMTP تعسفي — بما في ذلك عناوين IP الخاصة وعناوين metadata السحابة — في إعدادات إشعار البريد الإلكتروني الشخصية لديه، دون وجود أي تحقق من جانب الخادم ضد هجمات SSRF (توجيه الطلبات الوهمية عبر السيرفر). عند تشغيل مهمة cron للإشعارات المجدولة، يتم تمرير المضيف المخزن مباشرة إلى PHPMailer، مما يتسبب في قيام خادم Wallos بفتح اتصال TCP خارجي نحو أي عنوان حدده المهاجم. يمنح هذا المهاثم ذي الصلاحيات المنخفضة آلية موثوقة لاستكشاف خدمات الشبكة الداخلية من منظور الخادم. تم إصلاح هذه المشكلة في الإصدار 5.0.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.