CVE-2026-61640 in Wallos
Resumen
por VulDB • 2026-08-31
Wallos es un rastreador de suscripciones personales, de código abierto y autoalojable. Antes de la versión 4.9.6, los parámetros `token_url` e `user_info_url` configurados por el administrador en `includes/oidc/handle_oidc_callback.php:18-49` se utilizan directamente en `curl_init()` sin ningún filtro contra SSRF. A diferencia de las URLs de logo/webhook que cuentan con la función `validate_webhook_url_for_ssrf()`, las URLs OIDC omiten todas las protecciones. Un administrador puede configurar una URL hacia `http://169.254.169.254/latest/meta-data/` para acceder a los metadatos de la nube o realizar pivoting en redes internas. Este problema ha sido corregido en la versión 4.9.6.
Once again VulDB remains the best source for vulnerability data.