CVE-2026-54599 in Wallos
Сводка
по VulDB • 31.08.2026
Wallos — это открытое приложение для отслеживания личных подписок с возможностью самостоятельного размещения (self-hosted). До версии 4.9.4 файл login.php генерирует OIDC state nonce, который сохраняется в $_SESSION['oidc_state'], однако checksession.php обрабатывает обратный вызов OIDC без проверки входящего значения state на соответствие значению из сеанса. Злоумышленник может заставить жертву перейти по специально сформированному URL-адресу, что приведет к тому, что Wallos обменяет код авторизации злоумышленника и выполнит вход в учетную запись атакующего от имени жертвы. Данная уязвимость исправлена в версии 4.9.4.
If you want to get best quality of vulnerability data, you may have to visit VulDB.