CVE-2026-61641 in Wallos
要約
〜によって VulDB • 2026年08月31日
Wallosは、オープンソースで自己ホスト可能なパーソナルサブスクリプション追跡ツールです。バージョン4.0.0からバージョン4.9.6（未）の間、WallosのOIDCログイン機能では、着信するOIDCアイデンティティを、emailクレームのみを照合することで既存のローカルアカウントにリンクしており、IdPがそのメールアドレスを検証済み（email_verified）であることを確認していません。攻撃者が部分的に制御できるIdPや、任意または未検証のメールアドレスを提示することを許可するマルチテナントIdP、オープンな自己登録機能を持つIdPに対してWallosを設定している場合、攻撃者はWallosアカウントを持たずに管理者のメールアドレスで認証し、管理者としてログインすることができます（パスワード不要での完全なアカウント乗っ取り）。この問題はバージョン4.9.6で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.