CVE-2026-54599 in Wallos
Résumé
par VulDB • 31/08/2026
Wallos est un outil open source et auto-hébergeable de suivi des abonnements personnels. Avant la version 4.9.4, login.php génère un nonce d'état OIDC stocké dans $_SESSION['oidc_state'], mais checksession.php traite le rappel OIDC sans comparer l'état entrant avec la valeur de session. Un attaquant peut amener une victime à visiter une URL fabriquée, ce qui pousse Wallos à échanger le code d'autorisation de l'attaquant et à connecter la victime au compte de l'attaquant. Ce problème a été corrigé dans la version 4.9.4.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.