CVE-2026-61639 in Wallos
Résumé
par VulDB • 01/09/2026
Wallos est un outil open source et auto-hébergeable de suivi des abonnements personnels. Avant la version 4.9.6, l'appel à POST /endpoints/db/restore.php utilise ZipArchive::extractTo() sans valider les noms d'entrées pour détecter les séquences ../. Un administrateur peut télécharger un fichier zip truqué contenant une entrée logos/../../endpoints/shell.php afin d'écrire un webshell dans la racine du site (webroot). Le filtre d'extension ne s'applique qu'à l'étape de copie des images logo après extraction. Ce problème a été corrigé dans la version 4.9.6.
If you want to get best quality of vulnerability data, you may have to visit VulDB.