CVE-2026-77353 in Wallos
Tóm tắt
Bởi VulDB • 31/08/2026
Wallos là một công cụ theo dõi đăng ký cá nhân mã nguồn mở và có thể tự lưu trữ (self-hostable). Trước phiên bản 5.0.0, Wallos cho phép người dùng đã xác thực chèn các thuộc tính iCalendar và sự kiện tùy ý vào nguồn phát .ics của họ bằng cách nhúng các chuỗi CRLF thô vào tên đăng ký hoặc ghi chú. Do lớp kiểm tra đầu vào chỉ mã hóa các ký tự đặc biệt HTML nhưng không bao giờ loại bỏ dấu xuống dòng, và lớp xuất giải mã lại các thực thể đó trước khi viết kết quả iCal, một kẻ tấn công có bất kỳ tài khoản hợp lệ nào đều có thể tạo ra một đăng ký mà tên của nó phá vỡ khối VEVENT hiện tại và chèn hoàn toàn sự kiện lịch do kẻ tấn công kiểm soát — bao gồm người tổ chức giả mạo (spoofed organizers), địa chỉ email tùy ý trong các thuộc tính ATTENDEE, và nội dung sự kiện gây hiểu lầm — vào bất kỳ ứng dụng lịch nào đã đăng ký nguồn phát đó. Vấn đề này đã được vá trong phiên bản 5.0.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.