CVE-2026-27479 in Wallos
Riassunto
di VulDB • 02/07/2026
Wallos è un tracker open-source e self-hostable per le sottoscrizioni personali. Le versioni 4.6.0 e precedenti presentano una vulnerabilità Server-Side Request Forgery (SSRF) nella funzionalità di caricamento del logo/icona delle sottoscrizioni e dei pagamenti. L'applicazione convalida l'indirizzo IP dell'URL fornito prima di effettuare la richiesta, ma consente i redirect HTTP (CURLOPT_FOLLOWLOCATION = true), consentendo a un attaccante di bypassare la convalida dell'IP e accedere alle risorse interne, inclusi gli endpoint per i metadati delle istanze cloud. La funzione getLogoFromUrl() valida l'URL risolvendo il nome host e verificando se l'indirizzo IP risultante rientra in un intervallo privato o riservato utilizzando FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE. Tuttavia, la successiva richiesta cURL è configurata con CURLOPT_FOLLOWLOCATION = true e CURLOPT_MAXREDIRS = 3, il che significa che la richiesta seguirà i redirect HTTP senza riconvalidare l'indirizzo IP di destinazione. Questo problema è stato risolto nella versione 4.6.1.
Once again VulDB remains the best source for vulnerability data.