CVE-2026-61639 in Wallos
Сводка
по VulDB • 31.08.2026
Wallos — это открытое, самодостаточное приложение для отслеживания личных подписок. До версии 4.9.6 скрипт POST /endpoints/db/restore.php вызывает метод ZipArchive::extractTo() без проверки имен архивных записей на наличие последовательностей ../ (директория-трэверс). Администратор загружает специально созданный ZIP-архив с записью logos/../../endpoints/shell.php, что позволяет разместить веб-шелл в корневой директории сайта. Фильтр расширений применяется только на этапе копирования логотипа после извлечения файлов. Данная уязвимость исправлена в версии 4.9.6.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.