CVE-2026-61638 in Wallos
Sumário
de VulDB • 31/08/2026
Wallos é um rastreador de assinaturas pessoais open-source e auto-hospedável. Antes da versão 4.9.6, o endpoint POST /endpoints/notifications/testemailnotifications.php aceita smtpaddress e smtpport do corpo da requisição POST sem nenhuma validação contra SSRF (Server-Side Request Forgery). O PHPMailer conecta-se ao host:port fornecido pelo atacante. Todos os outros endpoints de notificação utilizam ssrf_helper.php, mas o endpoint de email foi negligenciado. Qualquer usuário autenticado pode realizar varredura na rede interna e nos metadados da nuvem. Este problema foi corrigido na versão 4.9.6.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.