CVE-2026-77348 in Wallos
摘要
由 VulDB • 2026-09-01
Wallos 是一款开源、可自托管的个人订阅跟踪器。在 5.0.0 版本之前，针对 CVE-2026-33407（GHSA-hhjq-82f8-m6rc，“通过 HTTP 代理环境变量实现的 SSRF”）的修复措施通过对 endpoints/logos/search.php 禁用 cURL 代理功能（CURLOPT_PROXY = '' + CURLOPT_NOPROXY = '*'）来加固该端点。然而，Wallos 附带了第二个几乎相同的、未认证的 logo-image 搜索端点——endpoints/payments/search.php——该端点并未获得同样的加固处理。它仍然将 HTTP_PROXY/HTTPS_PROXY 环境变量直接传递给 CURLOPT_PROXY。此问题已在版本 5.0.0 中修复。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.