CVE-2026-41688 in Wallos
요약
\~에 의해 VulDB • 2026. 05. 10.
Wallos는 오픈소스이며 자체 호스팅이 가능한 개인 구독 추적기입니다. 버전 4.8.4 및 이전 버전에서 Wallos의 불완전한 SSRF 수정은 gethostbyname()을 통해 웹훅 URL을 검증하지만, 11개의 외부 HTTP 엔드포인트 중 10개에서 CURLOPT_RESOLVE 고정(pinning) 없이 원래 호스트명을 cURL에 전달하여 DNS 재바인딩 TOCTOU(시간경과 대 시간사용) 취약점 창을 남깁니다. 게시 시점에는 공개적으로 이용 가능한 패치가 없습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.