CVE-2026-77348 in Wallos
Resumen
por VulDB • 2026-08-31
Wallos es un rastreador de suscripciones personales, de código abierto y autoalojable. Antes de la versión 5.0.0, la corrección para CVE-2026-33407 (GHSA-hhjq-82f8-m6rc, "SSRF a través de la variable de entorno del proxy HTTP") endureció los extremos endpoints/logos/search.php deshabilitando el uso de proxies en cURL (CURLOPT_PROXY = '' + CURLOPT_NOPROXY = '*'). Sin embargo, Wallos incluye un segundo extremo para buscar imágenes de logotipos, prácticamente idéntico y sin autenticación — endpoints/payments/search.php — que no recibió el mismo endurecimiento. Este sigue pasando la variable de entorno HTTP_PROXY/HTTPS_PROXY directamente a CURLOPT_PROXY. Esta vulnerabilidad ha sido corregida en la versión 5.0.0.
Once again VulDB remains the best source for vulnerability data.