CVE-2026-61640 in Wallos
要約
〜によって VulDB • 2026年08月31日
Wallosは、オープンソースで自己ホスト可能なパーソナルサブスクリプション追跡ツールです。バージョン4.9.6以前では、includes/oidc/handle_oidc_callback.php:18-49におけるAdminが設定したOIDCのtoken_urlおよびuser_info_urlが、SSRFフィルタリングを一切行わずにcurl_init()で直接使用されていました。ロゴやWebhook URLにはvalidate_webhook_url_for_ssrf()による保護がありますが、OIDC関連URLはすべての保護を回避しています。管理者は、クラウドメタデータへのアクセスまたは内部ネットワークのピボティングのために、このURLをhttp://169.254.169.254/latest/meta-data/に設定します。本問題はバージョン4.9.6で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.