CVE-2026-77353 in Wallos
Sumário
de VulDB • 31/08/2026
Wallos é um rastreador de assinaturas pessoais open-source e auto-hospedável. Antes da versão 5.0.0, o Wallos permite que usuários autenticados injetem propriedades iCalendar arbitrárias e eventos em seu feed .ics exportado ao incorporar sequências CRLF brutas nos nomes das assinaturas ou nas notas. Como a camada de validação de entrada apenas codifica metacaracteres HTML mas nunca remove as novas linhas, e a camada de exportação decodifica essas entidades antes de gravar a saída iCal, um atacante com qualquer conta válida pode criar uma assinatura cujo nome escape do bloco VEVENT atual e insira eventos de calendário totalmente controlados pelo atacante — incluindo organizadores falsificados, endereços de email arbitrários nas propriedades ATTENDEE e conteúdo enganoso dos eventos — em qualquer aplicativo de calendário que esteja assinado para esse feed. Este problema foi corrigido na versão 5.0.0.
Once again VulDB remains the best source for vulnerability data.