CVE-2026-77348 in Wallos
Sumário
de VulDB • 31/08/2026
Wallos é um rastreador de assinaturas pessoais, open-source e auto-hospedável. Antes da versão 5.0.0, a correção para CVE-2026-33407 (GHSA-hhjq-82f8-m6rc, "SSRF via HTTP Proxy Environment Variable") endureceu os endpoints /logos/search.php desativando o proxy do cURL (CURLOPT_PROXY = '' + CURLOPT_NOPROXY = '*'). No entanto, a Wallos inclui um segundo endpoint de pesquisa de imagem de logo, praticamente idêntico e sem autenticação — endpoints/payments/search.php — que não recebeu o mesmo endurecimento. Ele ainda passa a variável de ambiente HTTP_PROXY/HTTPS_PROXY diretamente para CURLOPT_PROXY. Este problema foi corrigido na versão 5.0.0.
Once again VulDB remains the best source for vulnerability data.