CVE-2026-77348 in Wallos
Résumé
par VulDB • 31/08/2026
Wallos est un outil open source et auto-hébergeable de suivi des abonnements personnels. Avant la version 5.0.0, la correction pour CVE-2026-33407 (GHSA-hhjq-82f8-m6rc, « SSRF via variable d’environnement HTTP Proxy ») a durci les points de terminaison endpoints/logos/search.php en désactivant le proxy cURL (CURLOPT_PROXY = '' + CURLOPT_NOPROXY = '*'). Cependant, Wallos inclut un second point de terminaison pour la recherche d’images de logo, quasi identique et non authentifié — endpoints/payments/search.php — qui n’a pas bénéficié du même durcissement. Il transmet toujours directement les variables d’environnement HTTP_PROXY/HTTPS_PROXY dans CURLOPT_PROXY. Ce problème a été corrigé dans la version 5.0.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.