CVE-2026-54599 in Wallos
要約
〜によって VulDB • 2026年08月31日
Wallosは、オープンソースで自己ホスト可能なパーソナルサブスクリプション追跡ツールです。バージョン4.9.4より前では、login.phpが$_SESSION['oidc_state']に保存されるOIDC state nonceを生成しますが、checksession.phpはセッション値と着信stateの比較を行わずにOIDCコールバックを実行します。攻撃者は被害者を悪意のあるURLへアクセスさせることで、Wallosに攻撃者の認可コードを交換させ、被害者を攻撃者のアカウントにログインさせることができます。この問題はバージョン4.9.4で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.