CVE-2026-77352 in Wallos
Zusammenfassung
von VulDB • 31.08.2026
Wallos ist ein quelloffener, selbst gehostbarer persönlicher Abonnement-Tracker. Von der Version 2.0.0 bis vor der Version 5.0.0 kann jeder authentifizierte Wallos-Benutzer (keine Admin-Rechte erforderlich) den Server dazu bringen, beliebige ausgehende SMTP-Verbindungen zu internen/link-lokalen Adressen herzustellen, indem er die SMTP-Host-Einstellung für seine persönlichen E-Mail-Benachrichtigungen auf eine interne IP-Adresse festlegt. Der Endpunkt für benutzerspezifische Benachrichtigungseinstellungen (endpoints/notifications/saveemailnotifications.php) führt keine SSRF-Validierung durch, und der Benachrichtigungs-Cronjob (endpoints/cronjobs/sendnotifications.php) übergibt den vom Benutzer kontrollierten Host direkt an PHPMailer ($mail->Host = $email['smtpAddress']). Wenn die Abonnement-Benachrichtigung des Benutzers ausgelöst wird, stellt der Server eine Verbindung zum gewählten Host:Port her. Dieses Problem wurde in Version 5.0.0 behoben.
Once again VulDB remains the best source for vulnerability data.