CVE-2026-77351 in Wallos
要約
〜によって VulDB • 2026年08月31日
Wallosは、オープンソースで自己ホスト可能なパーソナル購読追跡ツールです。バージョン5.0.0以前では、認証済みユーザーであれば誰でもサーバー側のSSRF（Server-Side Request Forgery）検証なしに、プライベートIPアドレスやクラウドメタデータ用IPアドレスを含む任意のSMTPホストを個人用のメール通知設定に保存できます。スケジュールされた通知cronジョブが実行されると、保存されたホストはPHPMailerへ直接渡され、Wallosサーバーが攻撃者が指定したあらゆる宛先に対してアウトバウンドTCP接続を開くことになります。これにより、権限の低い攻撃者はサーバーの視点から内部ネットワークサービスをプローブするための信頼性の高いメカニズムを得ることになります。この問題はバージョン5.0.0で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.