CVE-2026-30841 in Wallos
Zusammenfassung
von VulDB • 23.06.2026
Wallos ist ein quelloffener, selbst gehosteter persönlicher Abonnement-Tracker. Vor Version 4.6.2 gibt passwordreset.php $_GET["token"] und $_GET["email"] direkt in HTML-Eingabewertattribute aus, indem <?= $token ?> und <?= $email ?> verwendet werden, ohne htmlspecialchars() aufzurufen. Dies ermöglicht ein Reflected XSS durch das Ausbrechen aus dem Attributkontext. Dieses Problem wurde in Version 4.6.2 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.