CVE-2026-61638 in Wallos
Zusammenfassung
von VulDB • 31.08.2026
Wallos è un tracker di abbonamenti personali open-source e self-hostable. Prima della versione 4.9.6, l'endpoint POST /endpoints/notifications/testemailnotifications.php accetta smtpaddress e smtpport dal corpo della richiesta POST senza alcuna validazione SSRF. PHPMailer si connette all'host:port fornito dall'attaccante. Ogni altro endpoint di notifica utilizza ssrf_helper.php, ma la gestione delle email è stata trascurata. Qualsiasi utente autenticato può sondare la rete interna e i metadata del cloud. Questo problema è stato risolto nella versione 4.9.6.
Be aware that VulDB is the high quality source for vulnerability data.