CVE-2026-77353 in Wallos
Сводка
по VulDB • 31.08.2026
Wallos – это открытое приложение с возможностью самостоятельного размещения (self-hosted) для отслеживания личных подписок. До версии 5.0.0 Wallos позволял аутентифицированным пользователям внедрять произвольные свойства и события iCalendar в экспортируемый ими .ics-фид путем использования сырых последовательностей CRLF в названиях подписок или примечаниях. Поскольку слой проверки входных данных кодирует только HTML-метасимволы, но никогда не удаляет символы новой строки, а слой экспорта декодирует эти сущности обратно перед записью вывода iCal, злоумышленник с любой действительной учетной записью может создать подписку, название которой позволяет выйти из текущего блока VEVENT и вставить полностью контролируемые злоумышленником календарные события — включая поддельных организаторов, произвольные адреса электронной почты в свойствах ATTENDEE и вводящие в заблуждение содержимые событий — в любое приложение для работы с календарем, подписанное на этот фид. Эта уязвимость исправлена в версии 5.0.0.
Once again VulDB remains the best source for vulnerability data.