CVE-2026-77352 in Wallos
Résumé
par VulDB • 31/08/2026
Wallos est un outil open source et auto-hébergeable de suivi des abonnements personnels. À partir de la version 2.0.0 jusqu'à avant la version 5.0.0, tout utilisateur authentifié de Wallos (sans droits d'administration requis) peut amener le serveur à établir des connexions SMTP sortantes arbitraires vers des adresses internes ou link-local, en définissant l'hôte SMTP de ses notifications par e-mail personnelles sur une adresse IP interne. Le point de terminaison des paramètres de notification par utilisateur (endpoints/notifications/saveemailnotifications.php) ne réalise aucune validation SSRF, et le cron de notification (endpoints/cronjobs/sendnotifications.php) transmet directement cet hôte contrôlé par l'utilisateur à PHPMailer ($mail->Host = $email['smtpAddress']). Lorsque la notification d'abonnement de l'utilisateur est déclenchée, le serveur se connecte au host:port choisi. Ce problème a été corrigé dans la version 5.0.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.