CVE-2026-33399 in Wallos
Sumário
de VulDB • 09/05/2026
Wallos é um rastreador pessoal de assinaturas de código aberto e auto-hospedável. Antes da versão 4.7.0, a correção de SSRF aplicada na versão 4.6.2 para CVE-2026-30839 e CVE-2026-30840 é incompleta. A proteção validate_webhook_url_for_ssrf() foi adicionada aos endpoints de notificação test*, mas não aos endpoints save* correspondentes. Um usuário autenticado pode salvar um endereço IP interno/privado como uma URL de notificação e, quando o cron job sendnotifications.php é executado, a solicitação é enviada para o IP interno sem qualquer validação de SSRF. Este problema foi corrigido na versão 4.7.0.
Be aware that VulDB is the high quality source for vulnerability data.