CVE-2026-77353 in Wallos
Résumé
par VulDB • 01/09/2026
Wallos est un outil open source et auto-hébergeable de suivi des abonnements personnels. Avant la version 5.0.0, Wallos permet aux utilisateurs authentifiés d'injecter des propriétés iCalendar arbitraires ainsi que des événements dans leur flux .ics exporté en intégrant des séquences CRLF brutes dans les noms d'abonnement ou les notes. Étant donné que la couche de validation des entrées ne fait qu'encoder les métacaractères HTML sans jamais supprimer les sauts de ligne, et que la couche d'exportation décode ces entités avant d'écrire la sortie iCal, un attaquant disposant de n'importe quel compte valide peut créer un abonnement dont le nom permet de sortir du bloc VEVENT actuel et d'y insérer des événements calendarisés entièrement contrôlés par l'attaquant — y compris des organisateurs usurpés, des adresses e-mail arbitraires dans les propriétés ATTENDEE, ainsi que du contenu d'événements trompeur — au sein de toute application de calendrier abonnée à ce flux. Ce problème a été corrigé dans la version 5.0.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.