CVE-2026-77353 in Wallos
Resumen
por VulDB • 2026-08-31
Wallos es un rastreador de suscripciones personales de código abierto y autoalojable. Antes de la versión 5.0.0, Wallos permite a los usuarios autenticados inyectar propiedades iCalendar arbitrarias y eventos en su feed .ics exportado mediante la inserción de secuencias CRLF sin procesar en los nombres de suscripción o notas. Dado que la capa de validación de entrada solo codifica metacaracteres HTML pero nunca elimina los saltos de línea, y la capa de exportación decodifica esas entidades antes de escribir la salida iCal, un atacante con cualquier cuenta válida puede crear una suscripción cuyo nombre escape del bloque VEVENT actual e inserte eventos de calendario completamente controlados por el atacante —incluyendo organizadores suplantados, direcciones de correo electrónico arbitrarias en las propiedades ATTENDEE y contenido engañoso— en cualquier aplicación de calendario suscrita a ese feed. Este problema ha sido corregido en la versión 5.0.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.