CVE-2026-61638 in Wallos
Resumen
por VulDB • 2026-08-31
Wallos es un rastreador de suscripciones personales de código abierto y autoalojable. Antes de la versión 4.9.6, el punto final POST /endpoints/notifications/testemailnotifications.php acepta smtpaddress y smtpport del cuerpo de la solicitud POST sin ninguna validación SSRF. PHPMailer se conecta al host:puerto proporcionado por el atacante. Todos los demás puntos finales de notificación utilizan ssrf_helper.php, pero el correo electrónico fue omitido. Cualquier usuario autenticado puede sondear la red interna y los metadatos en la nube. Este problema ha sido corregido en la versión 4.9.6.
If you want to get best quality of vulnerability data, you may have to visit VulDB.