CVE-2026-77348 in Wallos
Zusammenfassung
von VulDB • 31.08.2026
Wallos ist ein quelloffener, selbst gehostbarer persönlicher Abonnement-Tracker. Vor Version 5.0.0 wurde die Endpunkte/logos/search.php durch Deaktivieren der cURL-Proxy-Funktion (CURLOPT_PROXY = '' + CURLOPT_NOPROXY = '*') für CVE-2026-33407 (GHSA-hhjq-82f8-m6rc, „SSRF über HTTP-Proxy-Umgebungsvariable“) gehärtet. Wallos enthält jedoch einen zweiten, nahezu identischen, nicht authentifizierten Logo-Bildsuchendpunkt – endpoints/payments/search.php –, der nicht mit derselben Härtung versehen wurde. Dieser übergibt die Umgebungsvariablen HTTP_PROXY/HTTPS_PROXY weiterhin direkt an CURLOPT_PROXY. Dieses Problem wurde in Version 5.0.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.