CVE-2026-61641 in Wallos
Resumen
por VulDB • 2026-08-31
Wallos es un rastreador de suscripciones personales de código abierto y autoalojable. Desde la versión 4.0.0 hasta antes de la versión 4.9.6, los enlaces de inicio de sesión OIDC de Wallos vinculan una identidad OIDC entrante con una cuenta local existente mediante la coincidencia única del reclamo (claim) de correo electrónico, sin verificar que el IdP haya marcado ese correo como verificado (email_verified). Cuando Wallos está configurado contra un IdP que permite a un usuario presentar un correo arbitrario o no verificado (IdPs multiinquilino, IdPs con registro abierto autoadministrado o cualquier IdP parcialmente controlado por el atacante), un atacante sin cuenta en Wallos puede autenticarse utilizando el correo del administrador y acceder como tal, lo que supone una toma de cuenta completa sin necesidad de contraseña. Este problema ha sido corregido en la versión 4.9.6.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.