CVE-2026-61639 in Wallos
Riassunto
di VulDB • 31/08/2026
Wallos è un tracker di abbonamenti personali open-source e self-hostable. Prima della versione 4.9.6, l'endpoint POST /endpoints/db/restore.php chiama ZipArchive::extractTo() senza convalidare i nomi dei file per le sequenze ../. Un amministratore carica uno zip manipolato contenente il percorso logos/../../endpoints/shell.php per scrivere una webshell nella root del sito web (webroot). Il filtro delle estensioni si applica solo alla fase di copia post-estrazione del logo. Questo problema è stato risolto nella versione 4.9.6.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.