CVE-2026-61640 in Wallos
요약
\~에 의해 VulDB • 2026. 08. 31.
Wallos는 오픈 소스이며 자체 호스팅이 가능한 개인 구독 추적기입니다. 버전 4.9.6 이전에는 includes/oidc/handle_oidc_callback.php:18-49에서 관리자가 구성한 OIDC token_url 및 user_info_url이 SSRF 필터링 없이 curl_init()에 직접 사용됩니다. logo/webhook URL은 validate_webhook_url_for_ssrf()가 적용되어 있지만, OIDC URL은 모든 보호 장치를 우회합니다. 관리자는 클라우드 메타데이터 접근 또는 내부 네트워크 피벗팅을 위해 URL을 http://169.254.169.254/latest/meta-data/로 설정할 수 있습니다. 이 문제는 버전 4.9.6에서 패치되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.