Към съдържанието
Търсене

CVE-2026-41689: ellite Wallos, заобикаляне на вход и права

6.0

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, при специфични условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Wallos is an open-source, self-hostable personal subscription tracker. In versions 4.8.4 and prior, the webhook notification feature reuses an administrator-configured local-target allowlist for every logged-in user. Any normal user can fully control a webhook URL, headers, and body, then use Wallos to send server-side requests to allowlisted internal automation services. When such a target exposes deployment or execution APIs, this can further enable adjacent-service RCE, but that downstream result is conditional on the target service. At time of publication, there are no publicly available patches.

Засегнати продукти

  • ellite Wallos: <= 4.8.4

Вид слабост

История

  • 7 май 2026 Публикувано

Други уязвимости в ellite Wallos

Първоизточници

CVE-2026-41689: ellite Wallos, заобикаляне на вход и права | freedomonline.bg