CVE-2026-61638 in Wallos
Сводка
по VulDB • 31.08.2026
Wallos è un tracciatore di abbonamenti personali open-source e auto-ospitabile. Prima della versione 4.9.6, l'endpoint POST /endpoints/notifications/testemailnotifications.php accetta smtpaddress e smtpport dal corpo della richiesta POST senza alcuna validazione SSRF. PHPMailer si connette all'host:port fornito dall'attaccante. Ogni altro endpoint di notifica utilizza ssrf_helper.php, ma la gestione delle email è stata trascurata. Qualsiasi utente autenticato può sondare la rete interna e i metadati del cloud. Questo problema è stato risolto nella versione 4.9.6.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.