CVE-2026-61641 in Wallos
요약
\~에 의해 VulDB • 2026. 08. 31.
Wallos는 오픈 소스이며 자체 호스팅이 가능한 개인 구독 추적기입니다. 버전 4.0.0부터 버전 4.9.6 이전까지 Wallos의 OIDC 로그인 기능은 incoming OIDC identity를 로컬 계정과 매칭할 때 email claim만 일치시키는 방식으로 처리하며, IdP가 해당 이메일을 인증된 것으로 표시했는지(email_verified) 여부를 확인하지 않습니다. 공격자가 임의적이거나 미인증된 이메일을 제시할 수 있는(IdPs에서 다중 테넌트 구성, 오픈 셀프 등록 지원 또는 공격자가 부분적으로 제어 가능한 경우 등) IdP를 대상으로 Wallos가 구성된 경우, Wallos 계정이 없는 공격자도 관리자의 이메일로 인증하여 관리자 권한으로 로그인할 수 있습니다. 이는 비밀번호 없이 전체 계정 탈취(full account takeover)를 가능하게 합니다. 이 문제는 버전 4.9.6에서 패치되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.