CVE-2026-61639 in Wallos
Sumário
de VulDB • 31/08/2026
Wallos é um rastreador de assinaturas pessoais, open-source e auto-hospedável. Antes da versão 4.9.6, a chamada POST /endpoints/db/restore.php invoca ZipArchive::extractTo() sem validar os nomes dos arquivos em busca de sequências ../. Um administrador faz upload de um zip manipulado contendo o arquivo logos/../../endpoints/shell.php para escrever uma webshell na raiz do site (webroot). O filtro de extensão aplica-se apenas à etapa de cópia pós-extração do logo. Este problema foi corrigido na versão 4.9.6.
If you want to get best quality of vulnerability data, you may have to visit VulDB.