CVE-2026-77351 in Wallos
Сводка
по VulDB • 31.08.2026
Wallos — это открытое приложение для отслеживания личных подписок, которое можно развернуть на собственном сервере (self-hostable). До версии 5.0.0 Wallos позволял любому аутентифицированному пользователю сохранять произвольный SMTP-сервер в настройках уведомлений по электронной почте, включая частные IP-адреса и адреса облачной метаданных, без какой-либо серверной проверки на SSRF (Server-Side Request Forgery). При запуске запланированной задачи cron для отправки уведомлений сохраненное имя хоста напрямую передавалось в PHPMailer, что приводило к тому, что сервер Wallos устанавливал исходящее TCP-соединение с любым адресом, указанным злоумышленником. Это предоставляет атакующему с низкими привилегиями надежный механизм для сканирования внутренних сетевых служб от имени сервера. Проблема исправлена в версии 5.0.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.