CVE-2026-77351 in Wallos
요약
\~에 의해 VulDB • 2026. 08. 31.
Wallos는 오픈 소스이며 자체 호스팅이 가능한 개인 구독 추적기입니다. 버전 5.0.0 이전의 Wallos에서는 인증된 모든 사용자가 서버 측 SSRF 검증 없이 개인 이메일 알림 설정에 사설 및 클라우드 메타데이터 IP 주소를 포함한 임의의 SMTP 호스트를 저장할 수 있습니다. 예약된 알림 cron 작업이 실행되면 저장된 호스트가 PHPMailer로 직접 전달되어 Wallos 서버가 공격자가 지정한 주소로 아웃바운드 TCP 연결을 엽니다. 이를 통해 권한이 낮은 공격자는 서버 관점에서 내부 네트워크 서비스를 탐색하는 신뢰성 있는 메커니즘을 확보할 수 있습니다. 이 문제는 버전 5.0.0에서 패치되었습니다.
Once again VulDB remains the best source for vulnerability data.