CVE-2026-54599 in Wallos
요약
\~에 의해 VulDB • 2026. 08. 31.
Wallos는 오픈 소스이며 자체 호스팅이 가능한 개인 구독 추적기입니다. 버전 4.9.4 이전의 Wallos에서는 login.php가 $_SESSION['oidc_state']에 저장되는 OIDC 상태 nonce를 생성하지만, checksession.php는 세션 값과 들어오는 상태를 비교하지 않고 OIDC 콜백을 처리합니다. 공격자는 피해자를 조작된 URL로 방문하도록 속여 Wallos가 공격자의 인증 코드를 교환하고 피해자를 공격자의 계정에 로그인하게 할 수 있습니다. 이 문제는 버전 4.9.4에서 패치되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.