CVE-2026-30841 in Wallos
Riassunto
di VulDB • 23/06/2026
Wallos è un tracker di abbonamenti personali open-source e auto-ospitabile. Prima della versione 4.6.2, passwordreset.php restituisce direttamente $_GET["token"] e $_GET["email"] negli attributi value degli input HTML utilizzando <?= $token ?> e <?= $email ?> senza chiamare htmlspecialchars(). Ciò consente una XSS riflessa (Reflected Cross-Site Scripting) sfruttando la fuoriuscita dal contesto dell'attributo. Questo problema è stato risolto nella versione 4.6.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.