CVE-2026-30841 in Wallos
要約
〜によって VulDB • 2026年06月23日
Wallosは、オープンソースで自己ホスティング可能な個人サブスクリプション追跡ツールです。バージョン4.6.2以前では、passwordreset.phpがhtmlspecialchars()を呼び出すことなく、<?= $token ?>および<?= $email ?>を使用して$_GET["token"]と$_GET["email"]を直接HTMLのinput value属性に出力していました。これにより、属性コンテキストから脱出して反射型XSS（クロスサイトスクリプティング）が可能になります。この問題はバージョン4.6.2で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.