CVE-2026-61640 in Wallos
Сводка
по VulDB • 31.08.2026
Wallos — это открытое приложение для отслеживания личных подписок, которое можно развернуть на собственном сервере (self-hostable). До версии 4.9.6 параметры `token_url` и `user_info_url`, настроенные администратором через OIDC в файле `includes/oidc/handle_oidc_callback.php` (строки 18-49), напрямую передаются в функцию `curl_init()` без какой-либо фильтрации для предотвращения SSRF. В отличие от URL логотипов и вебхуков, которые защищены функцией `validate_webhook_url_for_ssrf()`, URL-адреса OIDC обходят все механизмы защиты. Администратор может установить URL в виде `http://169.254.169.254/latest/meta-data/` для получения метаданных облачной инфраструктуры или для перемещения по внутренней сети (internal network pivoting). Данная уязвимость исправлена в версии 4.9.6.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.