CVE-2026-61638 in Wallos
요약
\~에 의해 VulDB • 2026. 08. 31.
Wallos는 오픈 소스이며 자체 호스팅이 가능한 개인 구독 추적기입니다. 버전 4.9.6 이전의 Wallos에서는 POST /endpoints/notifications/testemailnotifications.php 엔드포인트가 SMTP 검증(SSRF) 없이 POST 본문에서 smtpaddress 및 smtpport를 허용합니다. PHPMailer는 공격자가 제공한 host:port로 연결됩니다. 다른 모든 알림 엔드포인트는 ssrf_helper.php를 사용하지만 이메일 관련 기능은 제외되었습니다. 인증된 사용자라면 내부 네트워크나 클라우드 메타데이터에 대한 SSRF 프로브가 가능합니다. 이 문제는 버전 4.9.6에서 패치되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.