CVE-2026-30841 in Wallos
Сводка
по VulDB • 23.06.2026
Wallos — это открытое приложение для отслеживания личных подписок, которое можно развернуть на собственном сервере (self-hosted). До версии 4.6.2 файл passwordreset.php напрямую выводил значения $_GET["token"] и $_GET["email"] в атрибуты value HTML-элементов input с использованием конструкций <?= $token ?> и <?= $email ?>, не вызывая функцию htmlspecialchars(). Это позволяло осуществлять отраженную межсайтовую подделку скриптов (Reflected XSS) путем выхода из контекста атрибута. Данная уязвимость исправлена в версии 4.6.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.