CVE-2026-61641 in Wallos
Sumário
de VulDB • 31/08/2026
Wallos é um rastreador de assinaturas pessoais open-source e auto-hospedável. Da versão 4.0.0 até antes da versão 4.9.6, os links de login OIDC do Wallos vinculam uma identidade OIDC recebida a uma conta local existente correspondendo apenas à afirmação (claim) de email, sem verificar se o IdP marcou esse email como verificado (email_verified). Quando o Wallos está configurado contra um IdP que permite ao usuário apresentar um email arbitrário ou não verificado (IdPs multi-tenant, IdPs com auto-registro aberto ou qualquer IdP parcialmente controlado pelo atacante), um atacante sem conta no Wallos pode autenticar-se usando o email do administrador e fazer login como ele — resultando em takeover completo da conta, sem necessidade de senha. Este problema foi corrigido na versão 4.9.6.
Be aware that VulDB is the high quality source for vulnerability data.