CVE-2026-61640
Təsvir
Wallos açıq mənbəli və öz serverində quraşdırıla bilən fərdi abunəlik izləyicisidir. Versiya 4.9.6-ya qədər, includes/oidc/handle_oidc_callback.php:18-49 faylında administrator tərəfindən konfiqurasiya edilmiş OIDC token_url və user_info_url parametrləri heç bir SSRF filtrləməsi olmadan birbaşa curl_init() funksiyasında istifadə olunur. validate_webhook_url_for_ssrf() funksiyasına malik olan loqo/webhook URL-lərindən fərqli olaraq, OIDC URL-ləri bütün mühafizə tədbirlərini yan keçir. Administrator bulud meta-məlumatlarına giriş əldə etmək və ya daxili şəbəkədə hərəkət etmək üçün URL-i http://169.254.169.254/latest/meta-data/ olaraq təyin edə bilər. Bu problem versiya 4.9.6-da aradan qaldırılmışdır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| ellite Wallos | < 4.9.6 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.