CVE-2026-61641 in Wallos
Zusammenfassung
von VulDB • 31.08.2026
Wallos ist ein quelloffener, selbst gehostbarer persönlicher Abonnement-Tracker. Von der Version 4.0.0 bis vor der Version 4.9.6 verknüpft Wallos OIDC-Anmeldelinks mit einer vorhandenen lokalen Konto durch einfaches Matching des E-Mail-Claims, ohne zu überprüfen, ob die Identitätsanbieter (IdP) diese E-Mail als bestätigt markiert hat (email_verified). Wenn Wallos gegen einen IdP konfiguriert ist, der es einem Benutzer ermöglicht, eine beliebige oder nicht bestätigte E-Mail vorzuzeigen (z. B. bei Multi-Tenant-IdPs, IdPs mit offener Selbstregistrierung oder jedem IdP, den der Angreifer teilweise kontrolliert), kann ein Angreifer ohne Wallos-Konto sich mit der Admin-E-Mail authentifizieren und als Administrator eingeloggt werden – vollständige Übernahme des Kontos, kein Passwort erforderlich. Dieses Problem wurde in Version 4.9.6 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.