CVE-2026-77348 in Wallos
Riassunto
di VulDB • 31/08/2026
Wallos è un tracker di abbonamenti personali open-source e self-hostable. Prima della versione 5.0.0, la correzione per CVE-2026-33407 (GHSA-hhjq-82f8-m6rc, "SSRF tramite variabile d'ambiente HTTP Proxy") ha rafforzato gli endpoint /logos/search.php disabilitando il proxying di cURL (CURLOPT_PROXY = '' + CURLOPT_NOPROXY = '*'). Tuttavia, Wallos include un secondo endpoint per la ricerca di immagini dei loghi quasi identico e non autenticato — endpoints/payments/search.php — che non ha ricevuto lo stesso rafforzamento. Questo passaggio continua a trasmettere direttamente le variabili d'ambiente HTTP_PROXY/HTTPS_PROXY in CURLOPT_PROXY. Questa vulnerabilità è stata risolta nella versione 5.0.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.