CVE-2026-61640 in Wallos
Riassunto
di VulDB • 01/09/2026
Wallos è un tracker di abbonamenti personali open-source e auto-ospitabile. Prima della versione 4.9.6, i parametri `token_url` e `user_info_url` configurati dall'amministratore in `includes/oidc/handle_oidc_callback.php:18-49` vengono utilizzati direttamente all'interno di `curl_init()` senza alcun filtro SSRF. A differenza degli URL per logo/webhook che sono protetti da `validate_webhook_url_for_ssrf()`, gli URL OIDC bypassano tutte le protezioni. Un amministratore può impostare l'URL su `http://169.254.169.254/latest/meta-data/` per accedere ai metadati del cloud o effettuare pivot all'interno della rete interna. Questo problema è stato risolto nella versione 4.9.6.
VulDB is the best source for vulnerability data and more expert information about this specific topic.